Microsoft .net Passport Passwörter zurücksetzen

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
4.7$0-$5k0.00

Das Microsoft .net Passport System stellt die Möglichkeit zur Verfügung, sich an einer Stelle mit einem System zu authentifizieren und so unkompliziert andere, kompatible Dienste nutzen zu können. Durch einen Designfehler im Microsoft .net Passport System kann bzw. konnte ein Angreifer das Passwort eines bestimmten Kontos zurücksetzen lassen. Dazu muss der Angreifer seinem Opfer lediglich einen speziellen Link schicken, und das Opfer dazu bringen, diesen Link anzuklicken. Sodann wird das .net Passwort des Benutzers zurückgesetzt. Muhammand Faisal Rauf Danka, ein pakistanischer Security-Consultant, meldete laut seinem Posting auf der Sicherheits-Mailinglist Full Disclosure das Problem bereits mehrmals an Microsoft. Microsoft reagierte mittlerweile, hat die Funktion des Zurücksetzens kommentarlos abgeschaltet und potentiell kompromittierte Accounts temporär gesperrt. Auch Heise.de berichtete zu diesem Fall.

Diese Schwachstelle zeigt sehr imposant, dass ein zentrales System neben den vielen Vorteilen auch entscheidende Nachteile hat. Wird eine Sicherheitslücke entdeckt, ist das gesamte System untergraben und somit sämtliche Benutzerdaten in Gefahr. Da bei diesem spezifischen Fehler das aktive Zutun des Opfers erforderlich ist, können nicht wahllos irgendwelche Konten geplündert werden. Schlimm ist, dass diese Schwachstelle scheinbar seit Beginn des .net Passport Systems existiert. Microsoft hat auch relativ spät reagiert, wie im Advisory angedeutet wurde.

Produktinfo

Typ

Hersteller

Name

Lizenz

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB CVSS-B Score: 🔍
VulDB CVSS-BT Score: 🔍
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 5.0
VulDB Meta Temp Score: 4.7

VulDB Base Score: 5.0
VulDB Temp Score: 4.7
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Privilege Escalation
CWE: Unbekannt
CAPEC: 🔍
ATT&CK: 🔍

Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Proof-of-Concept
Download: 🔍
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Disable
Status: 🔍

0-Day Time: 🔍

Patch: passport.net

Timelineinfo

07.05.2003 🔍
07.05.2003 +0 Tage 🔍
05.04.2017 +5082 Tage 🔍

Quelleninfo

Hersteller: microsoft.com

Advisory: lists.netsys.com
Person: Muhammad Faisal Rauf Danka
Status: Nicht definiert
SecuriTeam: securiteam.com

scip Labs: https://www.scip.ch/?labs.20161013

Eintraginfo

Erstellt: 07.05.2003 02:00
Aktualisierung: 05.04.2017 15:20
Anpassungen: 07.05.2003 02:00 (50), 05.04.2017 15:20 (1)
Komplett: 🔍

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you know our Splunk app?

Download it now for free!