CVSS Meta Temp Score	Aktueller Exploitpreis (≈)	CTI Interest Score
5.7	$0-$5k	0.00

Zusammenfassunginfo

Eine problematische Schwachstelle wurde in MobileIron 4.5.4 entdeckt. Es geht dabei um eine nicht klar definierte Funktion der Datei /mifs/c/i/reg/reg.html der Komponente Device Registration. Die Veränderung des Parameters regpin mit dem Wert 12345"][script]alert('xss')[/script] resultiert in Cross Site Scripting. Der Angriff kann über das Netzwerk passieren. Ferner existiert ein Exploit. Ein Upgrade der betroffenen Komponente wird empfohlen.

Detailsinfo

Eine Schwachstelle wurde in MobileIron 4.5.4 entdeckt. Sie wurde als problematisch eingestuft. Dies betrifft eine unbekannte Verarbeitung der Datei /mifs/c/i/reg/reg.html der Komponente Device Registration. Dank Manipulation des Arguments regpin mit der Eingabe 12345"][script]alert('xss')[/script] kann eine Cross Site Scripting-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-80. Auswirken tut sich dies auf Vertraulichkeit, Integrität und Verfügbarkeit.

Die Entdeckung des Problems geschah am 28.09.2013. Die Schwachstelle wurde am 28.10.2013 durch Pascal Schaufelberger von scip AG als sID 10847 in Form eines bestätigten Mailinglist Posts (Full-Disclosure) via scip VulDB herausgegeben. Das Advisory findet sich auf scip.ch. Eine Veröffentlichung wurde in Zusammenarbeit mit dem Projektteam angestrebt. MobileIron hat nicht explizit in den Release Notes auf diese Schwachstelle hingewiesen, da sie nicht als kritisch wahrgenommen wurde. Das Ausnutzen gilt als leicht. Umgesetzt werden kann der Angriff über das Netzwerk. Das Ausnutzen erfordert keine spezifische Authentisierung. Eine Ausnutzung erfordert, dass das Opfer eine spezifische Handlung durchführt. Es sind technische Details sowie ein öffentlicher Exploit zur Schwachstelle bekannt. Diese Schwachstelle wird durch das MITRE ATT&CK als Angriffstechnik T1059.007 bezeichnet. Das Advisory weist darauf hin:

This is a traditional reflected cross site scripting vulnerability, which allows the injection of arbitrary script code. An attacker might be able to alter the behavior of the web site and might therefore attack visitors.

Ein öffentlicher Exploit wurde durch Pascal Schaufelberger in HTML/Javascript umgesetzt und sofort nach dem Advisory veröffentlicht. Unter vuldb.com wird der Exploit bereitgestellt. Er wird als proof-of-concept gehandelt. Es dauerte mindestens 20 Tage, bis diese Zero-Day Schwachstelle öffentlich gemacht wurde. Während dieser Zeit erzielte er wohl etwa $0-$5k auf dem Schwarzmarkt. Ein Suchen von inurl:mifs/c/i/reg/reg.html lässt dank Google Hacking potentiell verwundbare Systeme finden.

Ein Aktualisieren auf die Version 5.1.0 vermag dieses Problem zu lösen. Die Schwachstelle kann auch durch das Filtern von Web Server Port mittels Firewalling mitigiert werden. Als bestmögliche Massnahme wird das Upgrade auf eine neue Version empfohlen. Das Advisory stellt fest:

Cross site scripting pattern in the regpin field should be detected and eliminated. Most security solutions provide this function out of the box. (…) This issue got fixed in release 5.1.0 without further notification. Current release is 5.8, which has been available since October 2013. (…) After exchange of technical details the vendor informed that this issue was known already and has been patched without further notice.

Der Kontakt zu MobileIron war sehr effizient und freundlich.

Unter anderem wird der Fehler auch in der Verwundbarkeitsdatenbank von OSVDB (99041†) dokumentiert. Unter seclists.org werden zusätzliche Informationen bereitgestellt. If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Produktinfo

Name

• MobileIron

Version

• 4.5.4

CPE 2.3info

• 🔍

CPE 2.2info

• 🔍

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 6.3
VulDB Meta Temp Score: 5.7

VulDB Base Score: 6.3
VulDB Temp Score: 5.7
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vektor	Komplexität	Authentisierung	Vertraulichkeit	Integrität	Verfügbarkeit
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Cross Site Scripting
CWE: CWE-80 / CWE-74 / CWE-707
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Proof-of-Concept
Autor: Pascal Schaufelberger
Programmiersprache: 🔍
Download: 🔍
Google Hack: 🔍
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Day	freischalten	freischalten	freischalten	freischalten
Heute	freischalten	freischalten	freischalten	freischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔍
Exploit Delay Time: 🔍

Upgrade: MobileIron 5.1.0
Firewalling: 🔍

Timelineinfo

28.09.2013 🔍
16.10.2013 +18 Tage 🔍
18.10.2013 +1 Tage 🔍
18.10.2013 +0 Tage 🔍
28.10.2013 +9 Tage 🔍
28.10.2013 +0 Tage 🔍
08.10.2018 +1806 Tage 🔍

Quelleninfo

Advisory: sID 10847
Person: Pascal Schaufelberger
Firma: scip AG
Status: Bestätigt
Koordiniert: 🔍

GCVE (VulDB): GCVE-100-10847
OSVDB: 99041

scip Labs: https://www.scip.ch/?labs.20161013
Diverses: 🔍

Eintraginfo

Erstellt: 18.10.2013 11:27
Aktualisierung: 08.10.2018 15:43
Anpassungen: 18.10.2013 11:27 (71), 08.10.2018 15:43 (1)
Komplett: 🔍
Cache ID: 216:A2A:103

Diskussion

Do you want to use VulDB in your project?

Use the official API to access entries easily!