Open Build Service bis 0.165.3 TLS Certificate Validation schwache Authentisierung
CVSS Meta Temp Score | Aktueller Exploitpreis (≈) | CTI Interest Score |
---|---|---|
6.8 | $0-$5k | 0.00 |
In Open Build Service bis 0.165.3 wurde eine kritische Schwachstelle gefunden. Es geht um eine unbekannte Funktion der Komponente TLS Certificate Validation. Durch Manipulation mit einer unbekannten Eingabe kann eine schwache Authentisierung-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-295. Mit Auswirkungen muss man rechnen für Vertraulichkeit, Integrität und Verfügbarkeit. CVE fasst zusammen:
Open Build Service before version 0.165.4 diddn't validate TLS certificates for HTTPS connections with the osc client binary
Die Schwachstelle wurde am 05.11.2019 als Bug 1142518 in Form eines nicht definierten Bug Reports (Bugzilla) an die Öffentlichkeit getragen. Das Advisory kann von bugzilla.suse.com heruntergeladen werden. Eine eindeutige Identifikation der Schwachstelle wird seit dem 03.01.2019 mit CVE-2019-3685 vorgenommen. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Es sind weder technische Details noch ein Exploit zur Schwachstelle bekannt. Das MITRE ATT&CK Projekt deklariert die Angriffstechnik als T1587.003.
Ein Upgrade auf die Version 0.165.4 vermag dieses Problem zu beheben.
Produkt
Name
Version
CPE 2.3
CPE 2.2
CVSSv4
VulDB CVSS-B Score: 🔍VulDB CVSS-BT Score: 🔍
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
CVSSv3
VulDB Meta Base Score: 6.9VulDB Meta Temp Score: 6.8
VulDB Base Score: 5.6
VulDB Temp Score: 5.4
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
NVD Base Score: 7.7
NVD Vector: 🔍
CNA Base Score: 7.4
CNA Vector (SUSE): 🔍
CVSSv2
AV | AC | Au | C | I | A |
---|---|---|---|---|---|
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
Vektor | Komplexität | Authentisierung | Vertraulichkeit | Integrität | Verfügbarkeit |
---|---|---|---|---|---|
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍
NVD Base Score: 🔍
Exploiting
Klasse: Schwache AuthentisierungCWE: CWE-295 / CWE-287
CAPEC: 🔍
ATT&CK: 🔍
Lokal: Nein
Remote: Ja
Verfügbarkeit: 🔍
Status: Nicht definiert
EPSS Score: 🔍
EPSS Percentile: 🔍
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍
0-Day | freischalten | freischalten | freischalten | freischalten |
---|---|---|---|---|
Heute | freischalten | freischalten | freischalten | freischalten |
Threat Intelligence
Interesse: 🔍Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍
Gegenmassnahmen
Empfehlung: UpgradeStatus: 🔍
0-Day Time: 🔍
Upgrade: Open Build Service 0.165.4
Timeline
03.01.2019 🔍05.11.2019 🔍
05.11.2019 🔍
04.02.2024 🔍
Quellen
Advisory: Bug 1142518Status: Nicht definiert
CVE: CVE-2019-3685 (🔍)
Eintrag
Erstellt: 05.11.2019 15:02Aktualisierung: 04.02.2024 08:24
Anpassungen: 05.11.2019 15:02 (41), 05.11.2019 15:07 (17), 04.02.2024 08:24 (14)
Komplett: 🔍
Bisher keine Kommentare. Sprachen: de + en.
Bitte loggen Sie sich ein, um kommentieren zu können.