Search.cpan libwww-perl bis 5.64 SSL Certificate Net::HTTPS erweiterte Rechte
CVSS Meta Temp Score | Aktueller Exploitpreis (≈) | CTI Interest Score |
---|---|---|
5.1 | $0-$5k | 0.00 |
Eine Schwachstelle wurde in Search.cpan libwww-perl bis 5.64 (Programming Language Software) entdeckt. Sie wurde als kritisch eingestuft. Hierbei geht es um die Funktion Net::HTTPS
der Komponente SSL Certificate. Durch das Manipulieren mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-20. Dies hat Einfluss auf die Integrität. Die Zusammenfassung von CVE lautet:
The Net::HTTPS module in libwww-perl (LWP) before 6.00, as used in WWW::Mechanize, LWP::UserAgent, and other products, when running in environments that do not set the If-SSL-Cert-Subject header, does not enable full validation of SSL certificates by default, which allows remote attackers to spoof servers via man-in-the-middle (MITM) attacks involving hostnames that are not properly validated. NOTE: it could be argued that this is a design limitation of the Net::HTTPS API, and separate implementations should be independently assigned CVE identifiers for not working around this limitation. However, because this API was modified within LWP, a single CVE identifier has been assigned.
Die Schwachstelle wurde am 13.05.2011 durch Aaron (Website) herausgegeben. Bereitgestellt wird das Advisory unter vttynotes.blogspot.com. Die Verwundbarkeit wird mit der eindeutigen Identifikation CVE-2011-0633 gehandelt. Umgesetzt werden kann der Angriff über das Netzwerk. Das Ausnutzen erfordert keine spezifische Authentisierung. Zur Schwachstelle sind technische Details bekannt, ein verfügbarer Exploit jedoch nicht.
Für den Vulnerability Scanner Nessus wurde am 04.09.2013 ein Plugin mit der ID 69576 (Amazon Linux AMI : perl-libwww-perl (ALAS-2011-17)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Amazon Linux Local Security Checks zugeordnet.
Ein Aktualisieren auf die Version 5.65 vermag dieses Problem zu lösen.
Unter anderem wird der Fehler auch in den Datenbanken von X-Force (67481) und Tenable (69576) dokumentiert.
Produkt
Typ
Hersteller
Name
Version
- 5.0
- 5.1
- 5.2
- 5.3
- 5.4
- 5.5
- 5.6
- 5.7
- 5.8
- 5.9
- 5.10
- 5.11
- 5.12
- 5.13
- 5.14
- 5.15
- 5.16
- 5.17
- 5.18
- 5.19
- 5.20
- 5.21
- 5.22
- 5.23
- 5.24
- 5.25
- 5.26
- 5.27
- 5.28
- 5.29
- 5.30
- 5.31
- 5.32
- 5.33
- 5.34
- 5.35
- 5.36
- 5.37
- 5.38
- 5.39
- 5.40
- 5.41
- 5.42
- 5.43
- 5.44
- 5.45
- 5.46
- 5.47
- 5.48
- 5.49
- 5.50
- 5.51
- 5.52
- 5.53
- 5.54
- 5.55
- 5.56
- 5.57
- 5.58
- 5.59
- 5.60
- 5.61
- 5.62
- 5.63
- 5.64
CPE 2.3
CPE 2.2
CVSSv4
VulDB CVSS-B Score: 🔍VulDB CVSS-BT Score: 🔍
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
CVSSv3
VulDB Meta Base Score: 5.3VulDB Meta Temp Score: 5.1
VulDB Base Score: 5.3
VulDB Temp Score: 5.1
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
CVSSv2
AV | AC | Au | C | I | A |
---|---|---|---|---|---|
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
Vektor | Komplexität | Authentisierung | Vertraulichkeit | Integrität | Verfügbarkeit |
---|---|---|---|---|---|
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍
NVD Base Score: 🔍
Exploiting
Klasse: Erweiterte RechteCWE: CWE-20
ATT&CK: Unbekannt
Lokal: Nein
Remote: Ja
Verfügbarkeit: 🔍
Status: Nicht definiert
EPSS Score: 🔍
EPSS Percentile: 🔍
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍
0-Day | freischalten | freischalten | freischalten | freischalten |
---|---|---|---|---|
Heute | freischalten | freischalten | freischalten | freischalten |
Nessus ID: 69576
Nessus Name: Amazon Linux AMI : perl-libwww-perl (ALAS-2011-17)
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Nessus Port: 🔍
OpenVAS ID: 56546
OpenVAS Name: Gentoo Linux Local Check: https://security.gentoo.org/glsa/201402-04
OpenVAS Datei: 🔍
OpenVAS Family: 🔍
Threat Intelligence
Interesse: 🔍Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍
Gegenmassnahmen
Empfehlung: UpgradeStatus: 🔍
0-Day Time: 🔍
Upgrade: libwww-perl 5.65
Timeline
20.01.2011 🔍08.03.2011 🔍
13.05.2011 🔍
13.05.2011 🔍
18.05.2011 🔍
06.06.2011 🔍
04.09.2013 🔍
23.03.2015 🔍
07.11.2021 🔍
Quellen
Advisory: vttynotes.blogspot.comPerson: Aaron
Status: Nicht definiert
CVE: CVE-2011-0633 (🔍)
X-Force: 67481
Vulnerability Center: 31668 - libwww-perl before 6.00 Allows to Spoof Servers via Man-in-the-Middle Attacks, Medium
SecurityFocus: 47895 - Perl libwww-perl (LWP) Module SSL Certificate Validation Security Bypass Vulnerability
Eintrag
Erstellt: 23.03.2015 16:50Aktualisierung: 07.11.2021 10:41
Anpassungen: 23.03.2015 16:50 (59), 23.03.2017 15:49 (12), 07.11.2021 10:35 (3), 07.11.2021 10:41 (1)
Komplett: 🔍
Bisher keine Kommentare. Sprachen: de + en.
Bitte loggen Sie sich ein, um kommentieren zu können.