Google Go bis 1.7.5/1.8.1 auf AMD64 ScalarMult Key schwache Verschlüsselung

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
4.7$0-$5k0.00

Zusammenfassunginfo

Es wurde eine Schwachstelle in Google Go bis 1.7.5/1.8.1 für AMD64 ausgemacht. Sie wurde als problematisch eingestuft. Betroffen davon ist eine unbekannte Funktion der Komponente ScalarMult. Mittels dem Manipulieren mit unbekannten Daten kann eine schwache Verschlüsselung-Schwachstelle (Key) ausgenutzt werden. Die Identifikation der Schwachstelle wird mit CVE-2017-8932 vorgenommen. Umgesetzt werden kann der Angriff über das Netzwerk. Es existiert kein Exploit. Ein Upgrade der betroffenen Komponente wird empfohlen.

Detailsinfo

In Google Go bis 1.7.5/1.8.1 auf AMD64 (Programming Language Software) wurde eine Schwachstelle ausgemacht. Sie wurde als problematisch eingestuft. Betroffen ist ein unbekannter Teil der Komponente ScalarMult. Durch die Manipulation mit einer unbekannten Eingabe kann eine schwache Verschlüsselung-Schwachstelle (Key) ausgenutzt werden. CWE definiert das Problem als CWE-310. Dies wirkt sich aus auf die Vertraulichkeit. CVE fasst zusammen:

A bug in the standard library ScalarMult implementation of curve P-256 for amd64 architectures in Go before 1.7.6 and 1.8.x before 1.8.2 causes incorrect results to be generated for specific input points. An adaptive attack can be mounted to progressively extract the scalar input to ScalarMult by submitting crafted points and observing failures to the derive correct output. This leads to a full key recovery attack against static ECDH, as used in popular JWT libraries.

Am 16.06.2017 wurde das Problem entdeckt. Die Schwachstelle wurde am 06.07.2017 (Website) an die Öffentlichkeit getragen. Auf groups.google.com kann das Advisory eingesehen werden. Eine eindeutige Identifikation der Schwachstelle wird seit dem 15.05.2017 mit CVE-2017-8932 vorgenommen. Das Ausnutzen gilt als schwierig. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Nicht vorhanden sind sowohl technische Details als auch ein Exploit zur Schwachstelle. MITRE ATT&CK führt die Angriffstechnik T1600 für diese Schwachstelle.

Für den Vulnerability Scanner Nessus wurde am 19.06.2017 ein Plugin mit der ID 100855 (Fedora 25 : golang (2017-278f46fcd6)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Fedora Local Security Checks zugeordnet und im Kontext l ausgeführt. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 256264 (CentOS Security Update for golang (CESA-2017:1859)) zur Prüfung der Schwachstelle an.

Ein Upgrade auf die Version 1.7.6 oder 1.8.2 vermag dieses Problem zu beheben. Das Erscheinen einer Gegenmassnahme geschah vor und nicht erst nach der Veröffentlichung der Schwachstelle. Google hat folglich vorgängig reagiert.

Unter anderem wird der Fehler auch in der Verwundbarkeitsdatenbank von Tenable (100855) dokumentiert. If you want to get best quality of vulnerability data, you may have to visit VulDB.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 4.8
VulDB Meta Temp Score: 4.7

VulDB Base Score: 3.7
VulDB Temp Score: 3.6
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 5.9
NVD Vector: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Name: Key
Klasse: Schwache Verschlüsselung / Key
CWE: CWE-310
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Nicht definiert

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 100855
Nessus Name: Fedora 25 : golang (2017-278f46fcd6)
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Nessus Context: 🔍

OpenVAS ID: 867773
OpenVAS Name: Fedora Update for golang FEDORA-2017-278f46fcd6
OpenVAS Datei: 🔍
OpenVAS Family: 🔍

Qualys ID: 🔍
Qualys Name: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔍

Upgrade: Go 1.7.6/1.8.2
Patch: github.com

Timelineinfo

15.05.2017 🔍
16.06.2017 +32 Tage 🔍
16.06.2017 +0 Tage 🔍
19.06.2017 +3 Tage 🔍
06.07.2017 +17 Tage 🔍
06.07.2017 +0 Tage 🔍
07.07.2017 +1 Tage 🔍
12.12.2022 +1984 Tage 🔍

Quelleninfo

Hersteller: google.com

Advisory: FEDORA-2017-278f46fcd6
Status: Nicht definiert
Bestätigung: 🔍

CVE: CVE-2017-8932 (🔍)
GCVE (CVE): GCVE-0-2017-8932
GCVE (VulDB): GCVE-100-103282

Eintraginfo

Erstellt: 07.07.2017 09:24
Aktualisierung: 12.12.2022 07:57
Anpassungen: 07.07.2017 09:24 (75), 23.10.2019 21:26 (2), 12.12.2022 07:51 (5), 12.12.2022 07:57 (1)
Komplett: 🔍
Cache ID: 216::103

If you want to get best quality of vulnerability data, you may have to visit VulDB.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you want to use VulDB in your project?

Use the official API to access entries easily!