CVSS Meta Temp Score | Aktueller Exploitpreis (≈) | CTI Interest Score |
---|---|---|
7.0 | $0-$5k | 0.00 |
In ISC INN wurde eine kritische Schwachstelle entdeckt. Dabei geht es um ein unbekannter Codeteil. Mittels Manipulieren mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-264. Auswirkungen hat dies auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Zusammenfassung von CVE lautet:
The STARTTLS implementation in nnrpd in INN before 2.5.3 does not properly restrict I/O buffering, which allows man-in-the-middle attackers to insert commands into encrypted sessions by sending a cleartext command that is processed after TLS is in place, related to a "plaintext command injection" attack, a similar issue to CVE-2011-0411.
Die Schwachstelle wurde am 11.11.2012 durch Wietse Venema (Website) öffentlich gemacht. Bereitgestellt wird das Advisory unter mandriva.com. Die Verwundbarkeit wird seit dem 14.06.2012 als CVE-2012-3523 geführt. Der Angriff kann über das Netzwerk angegangen werden. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Technische Details oder ein Exploit zur Schwachstelle sind nicht verfügbar. Als Angriffstechnik weist das MITRE ATT&CK Projekt die ID T1068 aus.
Für den Vulnerability Scanner Nessus wurde am 22.01.2014 ein Plugin mit der ID 72079 (GLSA-201401-24 : INN: Man-in-the-middle attack) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Gentoo Local Security Checks zugeordnet.
Ein Aktualisieren auf die Version 1.5 vermag dieses Problem zu lösen.
Unter anderem wird der Fehler auch in der Verwundbarkeitsdatenbank von Tenable (72079) dokumentiert. Die Schwachstellen 56911, 56855, 56854 und 56853 sind ähnlich.
Produkt
Hersteller
Name
Version
Lizenz
CPE 2.3
CPE 2.2
CVSSv4
VulDB CVSS-B Score: 🔍VulDB CVSS-BT Score: 🔍
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
CVSSv3
VulDB Meta Base Score: 7.3VulDB Meta Temp Score: 7.0
VulDB Base Score: 7.3
VulDB Temp Score: 7.0
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
CVSSv2
AV | AC | Au | C | I | A |
---|---|---|---|---|---|
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
Vektor | Komplexität | Authentisierung | Vertraulichkeit | Integrität | Verfügbarkeit |
---|---|---|---|---|---|
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍
NVD Base Score: 🔍
Exploiting
Klasse: Erweiterte RechteCWE: CWE-264
ATT&CK: T1068
Lokal: Nein
Remote: Ja
Verfügbarkeit: 🔍
Status: Nicht definiert
EPSS Score: 🔍
EPSS Percentile: 🔍
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍
0-Day | freischalten | freischalten | freischalten | freischalten |
---|---|---|---|---|
Heute | freischalten | freischalten | freischalten | freischalten |
Nessus ID: 72079
Nessus Name: GLSA-201401-24 : INN: Man-in-the-middle attack
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Nessus Port: 🔍
OpenVAS ID: 71837
OpenVAS Name: FreeBSD Ports: inn
OpenVAS Datei: 🔍
OpenVAS Family: 🔍
Threat Intelligence
Interesse: 🔍Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍
Gegenmassnahmen
Empfehlung: UpgradeStatus: 🔍
0-Day Time: 🔍
Upgrade: INN 1.5
Timeline
07.03.2011 🔍14.06.2012 🔍
18.08.2012 🔍
15.10.2012 🔍
11.11.2012 🔍
11.11.2012 🔍
22.01.2014 🔍
24.03.2015 🔍
19.12.2021 🔍
Quellen
Hersteller: isc.orgAdvisory: mandriva.com
Person: Wietse Venema
Status: Nicht definiert
CVE: CVE-2012-3523 (🔍)
Vulnerability Center: 36548 - InterNetNews \x3C2.5.3 Remote Arbitrary Command Execution and Information Leakage, High
SecurityFocus: 46767 - Multiple Vendors STARTTLS Implementation Plaintext Arbitrary Command Injection Vulnerability
Secunia: 50661
Siehe auch: 🔍
Eintrag
Erstellt: 24.03.2015 12:22Aktualisierung: 19.12.2021 18:36
Anpassungen: 24.03.2015 12:22 (59), 18.04.2017 11:31 (11), 19.12.2021 18:36 (3)
Komplett: 🔍
Bisher keine Kommentare. Sprachen: de + en.
Bitte loggen Sie sich ein, um kommentieren zu können.