Adobe Flash Player bis 9.0.115.0 FileReference.download erweiterte Rechte

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
7.9$0-$5k0.00

Eine Schwachstelle wurde in Adobe Flash Player bis 9.0.115.0 (Multimedia Player Software) entdeckt. Sie wurde als kritisch eingestuft. Es geht hierbei um eine unbekannte Funktionalität der Datei FileReference.download. Dank der Manipulation mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-264. Dies hat Einfluss auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Zusammenfassung von CVE lautet:

ActionScript in Adobe Flash Player 9.0.124.0 and earlier does not require user interaction in conjunction with (1) the FileReference.browse operation in the FileReference upload API or (2) the FileReference.download operation in the FileReference download API, which allows remote attackers to create a browse dialog box, and possibly have unspecified other impact, via an SWF file.

Die Schwachstelle wurde am 17.10.2008 (Website) herausgegeben. Bereitgestellt wird das Advisory unter xforce.iss.net. Die Verwundbarkeit wird seit dem 02.10.2008 mit der eindeutigen Identifikation CVE-2008-4401 gehandelt. Die Ausnutzbarkeit ist als leicht bekannt. Umgesetzt werden kann der Angriff über das Netzwerk. Das Ausnutzen erfordert keine spezifische Authentisierung. Eine Ausnutzung erfordert, dass das Opfer eine spezifische Handlung durchführt. Zur Schwachstelle sind technische Details bekannt, ein verfügbarer Exploit jedoch nicht. Als Angriffstechnik weist das MITRE ATT&CK Projekt die ID T1068 aus.

Er wird als proof-of-concept gehandelt. Für den Vulnerability Scanner Nessus wurde am 18.11.2008 ein Plugin mit der ID 34815 (Adobe AIR < 1.5 Multiple Vulnerabilities (APSB08-23)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Windows zugeordnet und im Kontext l ausgeführt. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 116038 (Adobe Flash Player Multiple Security Issues and Vulnerabilities (APSB08-18 )) zur Prüfung der Schwachstelle an.

Ein Aktualisieren vermag dieses Problem zu lösen. Das Erscheinen einer Gegenmassnahme geschah 2 Monate nach der Veröffentlichung der Schwachstelle. Adobe hat so eher träge gehandelt.

Unter anderem wird der Fehler auch in den Datenbanken von X-Force (45913) und Tenable (34815) dokumentiert. Mit dieser Schwachstelle verwandte Einträge finden sich unter 3522, 3528, 3521 und 3679.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

Support

  • end of life

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB CVSS-B Score: 🔍
VulDB CVSS-BT Score: 🔍
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 8.8
VulDB Meta Temp Score: 7.9

VulDB Base Score: 8.8
VulDB Temp Score: 7.9
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Erweiterte Rechte
CWE: CWE-264
CAPEC: 🔍
ATT&CK: 🔍

Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Proof-of-Concept

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 34815
Nessus Name: Adobe AIR < 1.5 Multiple Vulnerabilities (APSB08-23)
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Nessus Context: 🔍

OpenVAS ID: 61802
OpenVAS Name: FreeBSD Ports: linux-flashplugin
OpenVAS Datei: 🔍
OpenVAS Family: 🔍

Qualys ID: 🔍
Qualys Name: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍

Timelineinfo

09.08.2007 🔍
02.10.2008 +420 Tage 🔍
15.10.2008 +13 Tage 🔍
15.10.2008 +0 Tage 🔍
17.10.2008 +2 Tage 🔍
17.10.2008 +0 Tage 🔍
26.10.2008 +9 Tage 🔍
17.11.2008 +22 Tage 🔍
18.11.2008 +1 Tage 🔍
17.03.2015 +2310 Tage 🔍
02.08.2021 +2330 Tage 🔍

Quelleninfo

Hersteller: adobe.com

Advisory: xforce.iss.net
Status: Bestätigt
Bestätigung: 🔍

CVE: CVE-2008-4401 (🔍)
OVAL: 🔍

X-Force: 45913
SecurityTracker: 1021061
Vulnerability Center: 19856 - Adobe Flash Player <= 9.0.124.0 ActionScript FileReference Upload and Download APIs Vulnerability, Medium
SecurityFocus: 25260
Secunia: 32270
OSVDB: 50127 - Adobe Flash Player Actionscript FileReference download API FileReference.download Operation Browse Dialog Box Creation
Vupen: ADV-2008-2838

Siehe auch: 🔍

Eintraginfo

Erstellt: 17.03.2015 16:11
Aktualisierung: 02.08.2021 14:16
Anpassungen: 17.03.2015 16:11 (71), 19.08.2019 22:22 (13), 02.08.2021 14:16 (4)
Komplett: 🔍

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you need the next level of professionalism?

Upgrade your account now!