ShowDoc AdminSettingController.class.php getLoginSecretKey schwache Verschlüsselung

EintraganpassenHistoryDiffjsonxmlCTI
CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
2.4$0-$5k0.06

In ShowDoc - eine genaue Versionsangabe ist nicht möglich - wurde eine problematische Schwachstelle gefunden. Das betrifft die Funktion getLoginSecretKey der Datei server/Application/Api/Controller/AdminSettingController.class.php. Mittels Manipulieren mit einer unbekannten Eingabe kann eine schwache Verschlüsselung-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-310. Mit Auswirkungen muss man rechnen für die Vertraulichkeit. CVE fasst zusammen:

showdoc is vulnerable to Missing Cryptographic Step

Die Schwachstelle wurde am 04.08.2021 an die Öffentlichkeit getragen. Das Advisory kann von huntr.dev heruntergeladen werden. Eine eindeutige Identifikation der Schwachstelle wird seit dem 03.08.2021 mit CVE-2021-3680 vorgenommen. Das Ausnutzen gilt als schwierig. Die Umsetzung des Angriffs hat dabei lokal zu erfolgen. Zur Ausnutzung ist eine einfache Authentisierung erforderlich. Technische Details sind bekannt, ein verfügbarer Exploit hingegen nicht. Das MITRE ATT&CK Projekt deklariert die Angriffstechnik als T1600.

Die Schwachstelle lässt sich durch das Einspielen eines Patches beheben. Dieser kann von github.com bezogen werden.

Produktinfoanpassen

Name

CPE 2.3infoanpassen

CPE 2.2infoanpassen

CVSSv3infoanpassen

VulDB Meta Base Score: 2.5
VulDB Meta Temp Score: 2.4

VulDB Base Score: 2.5
VulDB Temp Score: 2.4
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv2infoanpassen

AVACAuCIA
🔍🔍🔍🔍🔍🔍
🔍🔍🔍🔍🔍🔍
🔍🔍🔍🔍🔍🔍
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfoanpassen

Klasse: Schwache Verschlüsselung
CWE: CWE-310
ATT&CK: T1600

Lokal: Ja
Remote: Nein

Verfügbarkeit: 🔒
Status: Nicht definiert
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfoanpassen

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfoanpassen

Empfehlung: Patch
Status: 🔍

0-Day Time: 🔒

Patch: github.com

Timelineinfoanpassen

03.08.2021 CVE zugewiesen
04.08.2021 +1 Tage Advisory veröffentlicht
04.08.2021 +0 Tage VulDB Eintrag erstellt
08.08.2021 +4 Tage VulDB letzte Aktualisierung

Quelleninfoanpassen

Advisory: huntr.dev
Status: Bestätigt
Bestätigung: 🔒

CVE: CVE-2021-3680 (🔒)

Eintraginfoanpassen

Erstellt: 04.08.2021 20:07
Aktualisierung: 08.08.2021 08:10
Anpassungen: (1) source_cve_cna
Komplett: 🔍

Kommentare

Bisher keine Kommentare. Sprachen: . Bitte loggen Sie sich ein, um kommentieren zu können.

Interested in the pricing of exploits?

See the underground prices here!