OpenStack Essex 2012.1 Directory Traversal

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
5.4$0-$5k0.00

In OpenStack Essex 2012.1 (Cloud Software) wurde eine Schwachstelle ausgemacht. Sie wurde als problematisch eingestuft. Dabei geht es um ein unbekannter Prozess. Durch das Beeinflussen mit einer unbekannten Eingabe kann eine Directory Traversal-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-22. Dies wirkt sich aus auf Integrität und Verfügbarkeit. CVE fasst zusammen:

Directory traversal vulnerability in virt/disk/api.py in OpenStack Compute (Nova) Folsom (2012.2) and Essex (2012.1), when used over libvirt-based hypervisors, allows remote authenticated users to write arbitrary files to the disk image via a .. (dot dot) in the path attribute of a file element.

Die Schwachstelle wurde am 22.07.2012 (Website) an die Öffentlichkeit getragen. Auf github.com kann das Advisory eingesehen werden. Eine eindeutige Identifikation der Schwachstelle wird seit dem 14.06.2012 mit CVE-2012-3360 vorgenommen. Sie ist leicht ausnutzbar. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Das Angehen einer einfachen Authentisierung ist erforderlich, um eine Ausnutzung anzugehen. Nicht vorhanden sind sowohl technische Details als auch ein Exploit zur Schwachstelle. MITRE ATT&CK führt die Angriffstechnik T1006 für diese Schwachstelle.

Für den Vulnerability Scanner Nessus wurde am 05.07.2012 ein Plugin mit der ID 59845 (Ubuntu 11.10 / 12.04 LTS : nova vulnerabilities (USN-1497-1)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Ubuntu Local Security Checks zugeordnet.

Es sind keine Informationen bezüglich Gegenmassnahmen bekannt. Der Einsatz eines alternativen Produkts bietet sich im Zweifelsfall an.

Unter anderem wird der Fehler auch in den Datenbanken von X-Force (76755) und Tenable (59845) dokumentiert. Die Schwachstellen 61379 sind ähnlich.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB CVSS-B Score: 🔍
VulDB CVSS-BT Score: 🔍
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 5.4
VulDB Meta Temp Score: 5.4

VulDB Base Score: 5.4
VulDB Temp Score: 5.4
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Directory Traversal
CWE: CWE-22
ATT&CK: T1006

Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Nicht definiert

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 59845
Nessus Name: Ubuntu 11.10 / 12.04 LTS : nova vulnerabilities (USN-1497-1)
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Nessus Port: 🔍

OpenVAS ID: 864556
OpenVAS Name: Fedora Update for openstack-nova FEDORA-2012-10420
OpenVAS Datei: 🔍
OpenVAS Family: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: keine Massnahme bekannt
Status: 🔍

0-Day Time: 🔍

Patch: github.com

Timelineinfo

14.06.2012 🔍
03.07.2012 +19 Tage 🔍
03.07.2012 +0 Tage 🔍
04.07.2012 +1 Tage 🔍
05.07.2012 +1 Tage 🔍
10.07.2012 +5 Tage 🔍
22.07.2012 +12 Tage 🔍
22.07.2012 +0 Tage 🔍
23.03.2015 +974 Tage 🔍
06.12.2021 +2450 Tage 🔍

Quelleninfo

Hersteller: openstack.org

Advisory: USN-1497-1
Status: Nicht definiert
Bestätigung: 🔍

CVE: CVE-2012-3360 (🔍)
OVAL: 🔍

X-Force: 76755
Vulnerability Center: 35510 - OpenStack Compute (Nova) 2012.1 Remote Arbitrary Code Execution Vulnerability, High
SecurityFocus: 54277 - OpenStack Nova CVE-2012-3360 Remote Code Injection Vulnerability
Secunia: 49763 - OpenStack Compute (Nova) Host File Injection and File Corruption Vulnerabilities, Moderately Critical

Siehe auch: 🔍

Eintraginfo

Erstellt: 23.03.2015 16:50
Aktualisierung: 06.12.2021 18:13
Anpassungen: 23.03.2015 16:50 (61), 14.04.2017 14:05 (13), 06.12.2021 18:06 (4), 06.12.2021 18:13 (1)
Komplett: 🔍

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

Might our Artificial Intelligence support you?

Check our Alexa App!