Vulnerability ID 6123

Apache Wicket bis 1.5.7 Ajax Link Handler Cross Site Scripting

Apache
CVSSv3 Temp ScoreAktueller Exploitpreis (≈)
6.0$0-$1k

Es wurde eine kritische Schwachstelle in Apache Wicket gefunden. Dabei betrifft es eine unbekannte Funktion der Komponente Ajax Link Handler. Durch das Manipulieren mit der Eingabe %00 kann eine Cross Site Scripting-Schwachstelle ausgenutzt werden. Die Auswirkungen sind bekannt für Vertraulichkeit, Integrität und Verfügbarkeit.

Die Schwachstelle wurde am 06.09.2012 durch Thomas Heigl als Apache Wicket XSS vulnerability in Form eines bestätigten Advisories (Website) publiziert. Das Advisory kann von wicket.apache.org heruntergeladen werden. Die Herausgabe passierte in Zusammenarbeit mit Apache. Die Identifikation der Schwachstelle wird seit dem 14.06.2012 mit CVE-2012-3373 vorgenommen. Die Ausnutzbarkeit gilt als leicht. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Es sind technische Details sowie ein privater Exploit zur Schwachstelle bekannt.

Er wird als hoch funktional gehandelt.

Ein Aktualisieren auf die Version 1.4.21, 1.5.8 oder 6.0.0 vermag dieses Problem zu lösen. Eine neue Version kann von wicket.apache.org bezogen werden. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Apache hat nachweislich sofort gehandelt.

Mitunter wird der Fehler auch in den Datenbanken von SecurityFocus (BID 55445), X-Force (78321), Secunia (SA50555) und SecurityTracker (ID 1027508) dokumentiert.

CVSSv3

Base Score: 6.3 [?]
Temp Score: 6.0 [?]
Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L/E:H/RL:O/RC:C [?]
Zuverlässigkeit: High

CVSSv2

Base Score: 7.5 (CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P) [?]
Temp Score: 6.5 (CVSS2#E:H/RL:OF/RC:C) [?]
Zuverlässigkeit: High

AVACAuCIA
LHMNNN
AMSPPP
NLNCCC
VectorComplexityAuthenticationConfidentialityIntegrityAvailability
LocalHighMultipleNoneNoneNone
AdjacentMediumSinglePartialPartialPartial
NetworkLowNoneCompleteCompleteComplete

CPE

Exploiting

Klasse: Cross Site Scripting (CWE-79)
Lokal: Nein
Remote: Ja

Verfügbarkeit: Ja
Zugang: Privat
Status: Hoch funktional

Aktuelle Preisschätzung: $5k-$10k (0-day) / $0-$1k (Heute)

0-Day$0-$1k$1k-$2k$2k-$5k$5k-$10k$10k-$25k$25k-$50k$50k-$100k$100k-$500k
Heute$0-$1k$1k-$2k$2k-$5k$5k-$10k$10k-$25k$25k-$50k$50k-$100k$100k-$500k

Gegenmassnahmen

Empfehlung: Upgrade
Status: Offizieller Fix
Reaction Time: 0 Tage seit gemeldet
0-Day Time: 0 Tage seit gefunden
Exposure Time: 0 Tage seit bekannt

Upgrade: Wicket 1.4.21/1.5.8/6.0.0

Timeline

14.06.2012 CVE zugewiesen
06.09.2012 +84 Tage Advisory veröffentlicht
06.09.2012 +0 Tage Gegenmassnahme veröffentlicht
06.09.2012 +0 Tage SecurityFocus Eintrag zugewiesen
08.09.2012 +2 Tage OSVDB Eintrag erstellt
10.09.2012 +2 Tage VulDB Eintrag erstellt
10.09.2012 +0 Tage SecurityTracker Eintrag erstellt
19.09.2012 +9 Tage NVD veröffentlicht
11.12.2015 +1179 Tage VulDB Eintrag aktualisiert

Quellen

Advisory: Apache Wicket XSS vulnerability
Person: Thomas Heigl
Status: Bestätigt
Bestätigung: wicket.apache.org
Koordiniert: Ja

CVE: CVE-2012-3373 (mitre.org) (nvd.nist.org) (cvedetails.com)

SecurityFocus: 55445 - Apache Wicket CVE-2012-3373 Cross Site Scripting Vulnerability
Secunia: 50555 - Apache Wicket Cross-Site Scripting Vulnerability, Less Critical
X-Force: 78321 - Apache Wicket unspecified cross-site scripting, Medium Risk
SecurityTracker: 1027508 - Apache Wicket Input Validation Flaw Permits Cross-Site Scripting Attacks
OSVDB: 85249 - Apache Wicket Unspecified XSS

Eintrag

Erstellt: 10.09.2012
Aktualisierung: 11.12.2015
Eintrag: 90.9% komplett