CVSS Meta Temp Score	Aktueller Exploitpreis (≈)	CTI Interest Score
5.0	$0-$5k	0.00

Der Yahoo! Messenger ist eine freie Kommunikations-Suite für die Windows-Betriebssysteme. In seinem sehr ausführlichen Advisory beschreibt Chet Simpson auf der altbekannten Sicherheits-Mailingliste Bugtraq, wie ein Cross Site Scripting-Angriff ausgeführt werden kann, um die Messenger-ID oder gar das -Passwort auszulesen. Das Problem liegt in der Datei ypager.exe, der der URI-Handler ymsgr: zugewiesen wird. Automatisch können über eine solche URL Instant Messages, Chat-Räume oder Dateiübertragungen initiiert werden. Zusammen mit dem Advisory wurden einige HTML-Dokumente veröffentlicht, die als proof-of-concept den Angriff darstellen können. Das Problem ist nur dann gegeben, wenn das das IMVironment-Feature aktiviert ist. Dies ist jedoch Voreinstellung. Der Fehler wurde in der Version 5.6 Build 1356 behoben.

Relativ eindrucksvoll wurde bei dieser Schwachstelle gezeigt, wie weit ein Cross Site Scripting-Fehler ein komplettes System kompromittieren kann. Zwar handelt es sich hier nur um eine Messenger-Suite. Trotzdem wird aber damit gezeigt, dass ein Cross Site Scripting-Bug weitrechende Auswirkungen haben kann.

Produktinfo

Typ

• Messaging Software

Hersteller

• Yahoo!

Name

• Messenger

Version

• 5.5
• 5.6

Lizenz

• free

CPE 2.3info

• 🔍
• 🔍

CPE 2.2info

• 🔍
• 🔍

CVSSv4info

VulDB CVSS-B Score: 🔍
VulDB CVSS-BT Score: 🔍
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 5.5
VulDB Meta Temp Score: 5.0

VulDB Base Score: 5.5
VulDB Temp Score: 5.0
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vektor	Komplexität	Authentisierung	Vertraulichkeit	Integrität	Verfügbarkeit
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Cross Site Scripting
CWE: CWE-80 / CWE-74 / CWE-707
CAPEC: 🔍
ATT&CK: 🔍

Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Proof-of-Concept
Download: 🔍
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Day	freischalten	freischalten	freischalten	freischalten
Heute	freischalten	freischalten	freischalten	freischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔍

Upgrade: Messenger 5.6
Patch: messenger.yahoo.com

Timelineinfo

05.12.2003 🔍
05.12.2003 +0 Tage 🔍
08.12.2003 +3 Tage 🔍
08.12.2003 +0 Tage 🔍
08.12.2003 +0 Tage 🔍
27.06.2019 +5680 Tage 🔍

Quelleninfo

Hersteller: yahoo.com

Advisory: securityfocus.com⛔
Person: Chet Simpson
Status: Nicht definiert
SecurityFocus: 9158 - Yahoo! Messenger IMVironment Cross-Site Scripting Vulnerability
Secunia: 10370 - Yahoo! Messenger IMVironment Cross-Site Scripting Vulnerability, Moderately Critical
OSVDB: 2925 - Yahoo! Messenger IMVironment XSS

TecChannel: 1641 [404 Not Found]

Eintraginfo

Erstellt: 08.12.2003 17:58
Aktualisierung: 27.06.2019 12:08
Anpassungen: 08.12.2003 17:58 (64), 27.06.2019 12:08 (1)
Komplett: 🔍

Diskussion

Do you want to use VulDB in your project?

Use the official API to access entries easily!