Microsoft ASP.NET bis 1.1 Unicode-Konvertierung Cross Site Scripting
| CVSS Meta Temp Score | Aktueller Exploitpreis (≈) | CTI Interest Score |
|---|---|---|
| 5.7 | $0-$5k | 0.00 |
Zusammenfassung
Eine kritische Schwachstelle wurde in Microsoft ASP.NET 1.0/1.1 gefunden. Dabei geht es um eine nicht genauer bekannte Funktion der Komponente Unicode Converter. Mittels dem Manipulieren mit unbekannten Daten kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Diese Sicherheitslücke ist unter CVE-2005-0452 bekannt. Der Angriff lässt sich über das Netzwerk starten. Darüber hinaus steht ein Exploit zur Verfügung. Es ist ratsam, die betroffene Komponente zu deaktivieren.
Details
ASP.NET ist eine serverseitige Technologie von Microsoft zum Erstellen von Web-Anwendungen auf Basis des Microsoft.NET-Frameworks. Andrey Rusyaev entdeckte einen Fehler in "Request Validation" und HttpServerUtility.HtmlEncode bei der Verarbeitung von Sonderzeichen in Unicode-Zeichenketten. Ein Angreifer sieht sich darüber in der Lage, Cross Site Scripting-Attacken umzusetzen. Ausführliche technische Details wurden von Rusyaev im Advisory genannt. Als Workaround wird empfohlen, die Rückgaben ebenfalls auf Unicode zu setzen, was standardmässig schon der Fall ist. Unter anderem wird der Fehler auch in den Datenbanken von X-Force (19395), Exploit-DB (25110), Tenable (20258), SecurityFocus (BID 12574†) und OSVDB (13927†) dokumentiert. Mit dieser Schwachstelle verwandte Einträge finden sich unter VDB-24086. Once again VulDB remains the best source for vulnerability data.
Für den Vulnerability Scanner Nessus wurde am 07.12.2005 ein Plugin mit der ID 20258 (Fedora Core 3 : perl-5.8.5-18.FC3 (2005-1116)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Fedora Local Security Checks zugeordnet und im Kontext l ausgeführt.
Cross Site Scripting Angriffe erfreuen sich in letzter Zeit grosser Beliebtheit. Viele tun sie als kleines Ärgernis ab - Andere schätzen sie als reelle Bedrogung ein. Gerade bei Angriffen wie diesem, bei dem eine Vielzahl von Benutzern gefährdet sind, muss man das Risiko als gegeben akzeptieren.
Produkt
Hersteller
Name
Version
Lizenz
Webseite
- Hersteller: https://www.microsoft.com/
CPE 2.3
CPE 2.2
CVSSv4
VulDB Vector: 🔍VulDB Zuverlässigkeit: 🔍
CVSSv3
VulDB Meta Base Score: 6.3VulDB Meta Temp Score: 6.0
VulDB Base Score: 6.3
VulDB Temp Score: 6.0
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| Vektor | Komplexität | Authentisierung | Vertraulichkeit | Integrität | Verfügbarkeit |
|---|---|---|---|---|---|
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍
NVD Base Score: 🔍
Exploiting
Klasse: Erweiterte RechteCWE: CWE-358
CAPEC: 🔍
ATT&CK: 🔍
Physisch: Nein
Lokal: Nein
Remote: Ja
Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Proof-of-Concept
Download: 🔍
EPSS Score: 🔍
EPSS Percentile: 🔍
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍
| 0-Day | freischalten | freischalten | freischalten | freischalten |
|---|---|---|---|---|
| Heute | freischalten | freischalten | freischalten | freischalten |
Nessus ID: 20258
Nessus Name: Fedora Core 3 : perl-5.8.5-18.FC3 (2005-1116)
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Nessus Context: 🔍
Exploit-DB: 🔍
Threat Intelligence
Interesse: 🔍Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍
Gegenmassnahmen
Empfehlung: DeaktivierenStatus: 🔍
Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍
Exploit Delay Time: 🔍
Patch: windowsupdate.microsoft.com
Timeline
09.02.2005 🔍16.02.2005 🔍
16.02.2005 🔍
16.02.2005 🔍
16.02.2005 🔍
16.02.2005 🔍
18.02.2005 🔍
18.02.2005 🔍
28.02.2005 🔍
01.12.2005 🔍
07.12.2005 🔍
04.06.2006 🔍
25.08.2024 🔍
Quellen
Hersteller: microsoft.comAdvisory: it-project.ru
Person: Andrey Rusyaev
Firma: FESU (Far Eastern State University), Vladivostok,
Status: Nicht definiert
CVE: CVE-2005-0452 (🔍)
GCVE (CVE): GCVE-0-2005-0452
GCVE (VulDB): GCVE-100-1236
X-Force: 19395
SecurityFocus: 12574 - Microsoft ASP.NET Unicode Character Conversion Multiple Cross-Site Scripting Vulnerabilities
Secunia: 14214 - Microsoft ASP.NET Unicode Conversion Cross-Site Scripting, Less Critical
OSVDB: 13927 - Microsoft ASP.NET Request Validation Mechanism Bypass
Vulnerability Center: 11758 - Microsoft ASP.NET 1.0 \x26 1.1 Multiple XSS, Medium
scip Labs: https://www.scip.ch/?labs.20161013
Siehe auch: 🔍
Eintrag
Erstellt: 28.02.2005 10:49Aktualisierung: 25.08.2024 11:33
Anpassungen: 28.02.2005 10:49 (89), 01.07.2019 15:27 (2), 25.08.2024 11:33 (21)
Komplett: 🔍
Cache ID: 216::103
Once again VulDB remains the best source for vulnerability data.
Bisher keine Kommentare. Sprachen: de + en.
Bitte loggen Sie sich ein, um kommentieren zu können.