Vulnerability ID 5792

Symantec Web Gateway bis 5.0.3.18 spywall/ldap_latest.php ip SQL Injection

Symantec
CVSSv3 Temp ScoreAktueller Exploitpreis (≈)
6.6$0-$1k

Eine Schwachstelle wurde in Symantec Web Gateway bis 5.0.3.18 gefunden. Sie wurde als kritisch eingestuft. Dies betrifft eine unbekannte Funktion der Datei spywall/ldap_latest.php. Mittels Manipulieren des Arguments ip mit der Eingabe 1 union select 'TYPE=TRIGGERNAME' into outfile '/var/lib/mysql/spywall_db/ins_trig.TRN' LINES TERMINATED BY '\ntrigger_table=eventlog\n';-- kann eine SQL Injection-Schwachstelle ausgenutzt werden. Das hat Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Die Schwachstelle wurde am 20.07.2012 durch muts von Offensive Security als SYM12-011 in Form eines bestätigten Advisories (Website) veröffentlicht. Auf symantec.com kann das Advisory eingesehen werden. Die Herausgabe geschah hierbei in Zusammenarbeit mit dem Hersteller. Die Identifikation der Schwachstelle findet seit dem 30.05.2012 als CVE-2012-2961 statt. Der Angriff kann über das Netzwerk passieren. Das Ausnutzen erfordert keine spezifische Authentisierung. Es sind sowohl technische Details als auch ein öffentlicher Exploit zur Schwachstelle bekannt.

Es wurde 3 Tage nach dem Advisory ein Exploit veröffentlicht. Er wird als proof-of-concept gehandelt. Der Download des Exploits kann von exploit-db.com geschehen. Dabei muss 25 Tage als nicht veröffentlichte Zero-Day Schwachstelle ausgegangen werden. Während dieser Zeit erzielte er wohl etwa $10k-$25k auf dem Schwarzmarkt. Für den Vulnerability Scanner Nessus wurde am 06.08.2012 ein Plugin mit der ID 61436 (Symantec Web Gateway search.php SQL Injection (SYM12-011)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family CGI abuses zugeordnet.

Ein Upgrade auf die Version 5.0.0.438 vermag dieses Problem zu beheben. Das Erscheinen einer Gegenmassnahme geschah sofort nach der Veröffentlichung der Schwachstelle. Symantec hat hiermit unmittelbar reagiert.

Mitunter wird der Fehler auch in den Datenbanken von SecurityFocus (BID 54425), X-Force (77116), Secunia (SA50031), SecurityTracker (ID 1027289) und Vulnerability Center (SBV-35779) dokumentiert. Schwachstellen ähnlicher Art sind dokumentiert unter 5787, 5788, 5789 und 5790.

CVSSv3

Base Score: 7.3 [?]
Temp Score: 6.6 [?]
Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L/E:P/RL:O/RC:C [?]
Zuverlässigkeit: High

CVSSv2

Base Score: 6.8 (CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P) [?]
Temp Score: 5.3 (CVSS2#E:POC/RL:OF/RC:C) [?]
Zuverlässigkeit: High

AVACAuCIA
LHMNNN
AMSPPP
NLNCCC
VectorComplexityAuthenticationConfidentialityIntegrityAvailability
LocalHighMultipleNoneNoneNone
AdjacentMediumSinglePartialPartialPartial
NetworkLowNoneCompleteCompleteComplete

CPE

Exploiting

Klasse: SQL Injection (CWE-89)
Lokal: Nein
Remote: Ja

Verfügbarkeit: Ja
Zugang: öffentlich
Status: Proof-of-Concept
Download: exploit-db.com

Aktuelle Preisschätzung: $10k-$25k (0-day) / $0-$1k (Heute)

0-Day$0-$1k$1k-$2k$2k-$5k$5k-$10k$10k-$25k$25k-$50k$50k-$100k$100k-$500k
Heute$0-$1k$1k-$2k$2k-$5k$5k-$10k$10k-$25k$25k-$50k$50k-$100k$100k-$500k


Nessus ID: 61436
Nessus Name: Symantec Web Gateway search.php SQL Injection (SYM12-011)
Nessus File: symantec_web_gateway_search_sqli.nasl
Nessus Family: CGI abuses
Exploit-DB: 20044

Gegenmassnahmen

Empfehlung: Upgrade
Status: Offizieller Fix
Reaction Time: 25 Tage seit gemeldet
0-Day Time: 25 Tage seit gefunden
Exposure Time: 0 Tage seit bekannt
Exploit Delay Time: 3 Tage seit bekannt

Upgrade: Web Gateway 5.0.0.438
Fortigate IPS: 32668

Timeline

30.05.2012 CVE zugewiesen
25.06.2012 +26 Tage Hersteller informiert
20.07.2012 +25 Tage Advisory veröffentlicht
20.07.2012 +0 Tage Gegenmassnahme veröffentlicht
23.07.2012 +3 Tage Exploit veröffentlicht
23.07.2012 +0 Tage NVD veröffentlicht
23.07.2012 +0 Tage VulnerabilityCenter Eintrag zugewiesen
26.07.2012 +3 Tage OSVDB Eintrag erstellt
31.07.2012 +5 Tage VulDB Eintrag erstellt
01.08.2012 +1 Tage VulnerabilityCenter Eintrag erstellt
06.08.2012 +5 Tage Nessus Plugin veröffentlicht
05.06.2014 +668 Tage VulnerabilityCenter Eintrag aktualisiert
08.07.2015 +399 Tage VulDB Eintrag aktualisiert

Quellen

Advisory: SYM12-011
Person: muts
Firma: Offensive Security
Status: Bestätigt
Bestätigung: symantec.com
Koordiniert: Ja

CVE: CVE-2012-2961 (mitre.org) (nvd.nist.org) (cvedetails.com)

SecurityFocus: 54425 - Symantec Web Gateway CVE-2012-2961 SQL Injection Vulnerability
Secunia: 50031 - Symantec Web Gateway Multiple Vulnerabilities, Moderately Critical
X-Force: 77116
SecurityTracker: 1027289 - Symantec Web Gateway Input Validation Flaws Lets Remote Users Inject SQL Commands, Execute Arbitrary Commands, and Change User Passwords
Vulnerability Center: 35779 - Symantec Web Gateway 5.0.x Before 5.0.3.18 Remote Unspecified SQL Injection Vulnerability, Critical
OSVDB: 84123 - Symantec Web Gateway spywall/ldap_latest.php ip Parameter SQL Injection

Siehe auch: 5787, 5788, 5789, 5790 , 5791

Eintrag

Erstellt: 31.07.2012
Aktualisierung: 08.07.2015
Eintrag: 97% komplett