CVSS Meta Temp Score	Aktueller Exploitpreis (≈)	CTI Interest Score
8.5	$0-$5k	0.00

Es wurde eine kritische Schwachstelle in Sinapsitech Esolar Duo Photovoltaic System Monitor - die betroffene Version ist nicht klar definiert - gefunden. Hiervon betroffen ist eine unbekannte Funktionalität der Datei login.php der Komponente Firmware. Mit der Manipulation mit einer unbekannten Eingabe kann eine schwache Verschlüsselung-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-310 vorgenommen. Auswirkungen hat dies auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Zusammenfassung von CVE lautet:

login.php on the Sinapsi eSolar Light Photovoltaic System Monitor (aka Schneider Electric Ezylog photovoltaic SCADA management server), Sinapsi eSolar, and Sinapsi eSolar DUO with firmware before 2.0.2870_2.2.12 establishes multiple hardcoded accounts, which makes it easier for remote attackers to obtain administrative access by leveraging a (1) cleartext password or (2) password hash contained in this script, as demonstrated by a password of astridservice or 36e44c9b64.

Die Schwachstelle wurde am 23.11.2012 durch Roberto Paleari (Website) publiziert. Bereitgestellt wird das Advisory unter us-cert.gov. Die Identifikation der Schwachstelle wird seit dem 14.11.2012 mit CVE-2012-5862 vorgenommen. Sie gilt als leicht auszunutzen. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Es sind technische Details sowie ein öffentlicher Exploit zur Schwachstelle bekannt. Als Angriffstechnik weist das MITRE ATT&CK Projekt die ID T1600 aus.

Der Exploit kann von securityfocus.com heruntergeladen werden. Er wird als proof-of-concept gehandelt. Durch die Suche von inurl:login.php können potentiell verwundbare Systeme gefunden werden.

Ein Aktualisieren vermag dieses Problem zu lösen.

Unter anderem wird der Fehler auch in den Datenbanken von X-Force (80200) und Exploit-DB (21273) dokumentiert. Mit dieser Schwachstelle verwandte Einträge finden sich unter 63023, 63022 und 63020.

Produktinfo

Hersteller

• Sinapsitech

Name

• Esolar Duo Photovoltaic System Monitor

CPE 2.3info

• 🔍

CPE 2.2info

• 🔍

CVSSv4info

VulDB CVSS-B Score: 🔍
VulDB CVSS-BT Score: 🔍
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 9.8
VulDB Meta Temp Score: 8.5

VulDB Base Score: 9.8
VulDB Temp Score: 8.5
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vektor	Komplexität	Authentisierung	Vertraulichkeit	Integrität	Verfügbarkeit
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Schwache Verschlüsselung
CWE: CWE-310
CAPEC: 🔍
ATT&CK: 🔍

Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Proof-of-Concept
Download: 🔍
Google Hack: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Day	freischalten	freischalten	freischalten	freischalten
Heute	freischalten	freischalten	freischalten	freischalten

Exploit-DB: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔍

Timelineinfo

12.09.2012 🔍
14.11.2012 +63 Tage 🔍
21.11.2012 +7 Tage 🔍
23.11.2012 +2 Tage 🔍
23.11.2012 +0 Tage 🔍
24.03.2015 +851 Tage 🔍
26.02.2018 +1070 Tage 🔍

Quelleninfo

Advisory: us-cert.gov
Person: Roberto Paleari
Status: Bestätigt
Bestätigung: 🔍

CVE: CVE-2012-5862 (🔍)
X-Force: 80200 - Multiple Sinapsi devices default password
SecurityFocus: 55872 - SINAPSI eSolar Light Photovoltaic System Monitor Multiple Security Vulnerabilities
Secunia: 51364 - Sinapsi eSolar Products Multiple Vulnerabilities, Moderately Critical
OSVDB: 86020

scip Labs: https://www.scip.ch/?labs.20161013
Siehe auch: 🔍

Eintraginfo

Erstellt: 24.03.2015 12:22
Aktualisierung: 26.02.2018 07:54
Anpassungen: 24.03.2015 12:22 (52), 26.02.2018 07:54 (14)
Komplett: 🔍

Diskussion

Are you interested in using VulDB?

Download the whitepaper to learn more about our service!