CVSS Meta Temp Score | Aktueller Exploitpreis (≈) | CTI Interest Score |
---|---|---|
3.0 | $0-$5k | 0.00 |
Eine Schwachstelle wurde in Huawei HiSilicon - eine genaue Versionsangabe steht aus - ausgemacht. Sie wurde als problematisch eingestuft. Hierbei geht es um die Funktion box_ProcessRequest
. Mittels dem Manipulieren mit einer unbekannten Eingabe kann eine Directory Traversal-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-22. Auswirken tut sich dies auf die Vertraulichkeit.
Die Schwachstelle wurde am 15.09.2020 durch Alexei Kojenov in Form eines nicht definierten Advisories (Website) herausgegeben. Das Advisory findet sich auf kojenov.com. Eine Veröffentlichung wurde nicht in Zusammenarbeit mit Huawei angestrebt. Im Advisory ist nachzulesen:
This article discloses critical vulnerabilities in IPTV/H.264/H.265 video encoders based on HiSilicon hi3520d hardware.
Die Verwundbarkeit wird mit der eindeutigen Identifikation CVE-2020-24219 gehandelt. Es sind technische Details sowie ein öffentlicher Exploit zur Schwachstelle bekannt. Diese Schwachstelle wird durch das MITRE ATT&CK als Angriffstechnik T1006 bezeichnet. Ein öffentlicher Exploit wurde durch Alexei Kojenov programmiert und direkt nach dem Advisory veröffentlicht. Der Exploit wird unter kojenov.com zur Verfügung gestellt. Er wird als proof-of-concept gehandelt. Bisher konnte die Existenz der vermeintlichen Schwachstelle noch nicht eindeutig nachgewiesen werden.
Das Advisory stellt fest:
Huawei issued a statement saying that none of the vulnerabilities have been introduced by HiSilicon chips and SDK packages.
Ein Bericht in deutscher Sprache wird unter anderem durch Heise bereitgestellt. Von weiterem Interesse können die folgenden Einträge sein: 161637, 161638, 161640 und 161641.
Produkt
Hersteller
Name
Lizenz
CPE 2.3
CPE 2.2
Video
CVSSv4
VulDB CVSS-B Score: 🔍VulDB CVSS-BT Score: 🔍
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
CVSSv3
VulDB Meta Base Score: 3.3VulDB Meta Temp Score: 3.0
VulDB Base Score: 3.3
VulDB Temp Score: 3.0
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
CVSSv2
AV | AC | Au | C | I | A |
---|---|---|---|---|---|
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
Vektor | Komplexität | Authentisierung | Vertraulichkeit | Integrität | Verfügbarkeit |
---|---|---|---|---|---|
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍
Exploiting
Klasse: Directory TraversalCWE: CWE-22
CAPEC: 🔍
ATT&CK: 🔍
Lokal: Ja
Remote: Nein
Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Proof-of-Concept
Autor: Alexei Kojenov
Download: 🔍
EPSS Score: 🔍
EPSS Percentile: 🔍
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍
0-Day | freischalten | freischalten | freischalten | freischalten |
---|---|---|---|---|
Heute | freischalten | freischalten | freischalten | freischalten |
Threat Intelligence
Interesse: 🔍Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍
Gegenmassnahmen
Empfehlung: keine Massnahme bekanntStatus: 🔍
0-Day Time: 🔍
Exploit Delay Time: 🔍
Timeline
15.09.2020 🔍15.09.2020 🔍
17.09.2020 🔍
19.09.2020 🔍
19.09.2020 🔍
Quellen
Hersteller: huawei.comAdvisory: kojenov.com
Person: Alexei Kojenov
Status: Nicht definiert
Bestätigung: 🔍
Infragegestellt: 🔍
CVE: CVE-2020-24219 (🔍)
Heise: 4905641
scip Labs: https://www.scip.ch/?labs.20161013
Siehe auch: 🔍
Eintrag
Erstellt: 19.09.2020 17:17Aktualisierung: 19.09.2020 17:22
Anpassungen: 19.09.2020 17:17 (52), 19.09.2020 17:22 (1)
Komplett: 🔍
Bisher keine Kommentare. Sprachen: de + en.
Bitte loggen Sie sich ein, um kommentieren zu können.