| CVSS Meta Temp Score | Aktueller Exploitpreis (≈) | CTI Interest Score |
|---|---|---|
| 3.8 | $0-$5k | 0.00 |
Zusammenfassung
Eine Schwachstelle, die als problematisch eingestuft wurde, wurde in Microsoft Edge gefunden. Es ist betroffen eine unbekannte Funktion der Komponente Fetch API. Die Veränderung resultiert in Information Disclosure. Diese Schwachstelle wird als CVE-2018-8366 gehandelt. Es ist möglich, den Angriff aus der Ferne durchzuführen. Es ist kein Exploit verfügbar. Es wird empfohlen, einen Patch anzuwenden, um dieses Problem zu beheben.
Details
Es wurde eine Schwachstelle in Microsoft Edge - die betroffene Version ist nicht klar definiert - (Web Browser) ausgemacht. Sie wurde als problematisch eingestuft. Es betrifft unbekannter Code der Komponente Fetch API. Mittels Manipulieren mit einer unbekannten Eingabe kann eine Information Disclosure-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-200 vorgenommen. Auswirken tut sich dies auf die Vertraulichkeit. Die Zusammenfassung von CVE lautet:
An information disclosure vulnerability exists when the Microsoft Edge Fetch API incorrectly handles a filtered response type, aka "Microsoft Edge Information Disclosure Vulnerability." This affects Microsoft Edge.Die Entdeckung des Problems geschah am 11.09.2018. Die Schwachstelle wurde am 11.09.2018 durch Kryptos Logic (window) von Kryptos Logic in Form eines bestätigten Security Update Guides (Website) publiziert. Das Advisory findet sich auf portal.msrc.microsoft.com. Die Herausgabe passierte in Zusammenarbeit mit Microsoft. Die Identifikation der Schwachstelle wird seit dem 14.03.2018 mit CVE-2018-8366 vorgenommen. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Eine Ausnutzung erfordert, dass das Opfer eine spezifische Handlung durchführt. Technische Details sind nicht bekannt und ein Exploit zur Schwachstelle ist ebenfalls nicht vorhanden. Diese Schwachstelle wird durch das MITRE ATT&CK als Angriffstechnik T1592 bezeichnet. Das Advisory weist darauf hin:
An information disclosure vulnerability exists when the Microsoft Edge Fetch API incorrectly handles a filtered response type. An attacker could use the vulnerability to read the URL of a cross-origin request. Websites that that do not securely populate the URL with confidential information could allow information to be disclosed to an attacker.Für den Vulnerability Scanner Nessus wurde am 11.09.2018 ein Plugin mit der ID 117411 (KB4457128: Windows 10 Version 1803 and Windows Server Version 1803 September 2018 Security Update) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Windows : Microsoft Bulletins zugeordnet und im Kontext l ausgeführt. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 91471 (Microsoft Edge Security Update for September 2018) zur Prüfung der Schwachstelle an.
Die Schwachstelle lässt sich durch das Einspielen eines Patches lösen. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Microsoft hat nachweislich sofort gehandelt.
Unter anderem wird der Fehler auch in den Datenbanken von Tenable (117411) und SecurityFocus (BID 105253†) dokumentiert. Schwachstellen ähnlicher Art sind dokumentiert unter VDB-123824, VDB-123826, VDB-123832 und VDB-123833. Be aware that VulDB is the high quality source for vulnerability data.
Produkt
Typ
Hersteller
Name
Lizenz
Webseite
- Hersteller: https://www.microsoft.com/
CPE 2.3
CPE 2.2
CVSSv4
VulDB Vector: 🔍VulDB Zuverlässigkeit: 🔍
CVSSv3
VulDB Meta Base Score: 3.9VulDB Meta Temp Score: 3.8
VulDB Base Score: 4.3
VulDB Temp Score: 4.1
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
Hersteller Base Score (Microsoft): 4.3
Hersteller Vector (Microsoft): 🔍
NVD Base Score: 3.1
NVD Vector: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| Vektor | Komplexität | Authentisierung | Vertraulichkeit | Integrität | Verfügbarkeit |
|---|---|---|---|---|---|
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍
NVD Base Score: 🔍
Exploiting
Klasse: Information DisclosureCWE: CWE-200 / CWE-284 / CWE-266
CAPEC: 🔍
ATT&CK: 🔍
Physisch: Nein
Lokal: Nein
Remote: Ja
Verfügbarkeit: 🔍
Status: Nicht definiert
EPSS Score: 🔍
EPSS Percentile: 🔍
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍
| 0-Day | freischalten | freischalten | freischalten | freischalten |
|---|---|---|---|---|
| Heute | freischalten | freischalten | freischalten | freischalten |
Nessus ID: 117411
Nessus Name: KB4457128: Windows 10 Version 1803 and Windows Server Version 1803 September 2018 Security Update
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Nessus Context: 🔍
Qualys ID: 🔍
Qualys Name: 🔍
Threat Intelligence
Interesse: 🔍Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍
Gegenmassnahmen
Empfehlung: PatchStatus: 🔍
Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍
Timeline
14.03.2018 🔍11.09.2018 🔍
11.09.2018 🔍
11.09.2018 🔍
11.09.2018 🔍
11.09.2018 🔍
12.09.2018 🔍
12.09.2018 🔍
08.05.2023 🔍
Quellen
Hersteller: microsoft.comAdvisory: portal.msrc.microsoft.com
Person: Kryptos Logic (window)
Firma: Kryptos Logic
Status: Bestätigt
Bestätigung: 🔍
Koordiniert: 🔍
CVE: CVE-2018-8366 (🔍)
GCVE (CVE): GCVE-0-2018-8366
GCVE (VulDB): GCVE-100-123855
OVAL: 🔍
SecurityFocus: 105253 - Microsoft Edge CVE-2018-8366 Information Disclosure Vulnerability
SecurityTracker: 1041623
Siehe auch: 🔍
Eintrag
Erstellt: 12.09.2018 08:14Aktualisierung: 08.05.2023 11:55
Anpassungen: 12.09.2018 08:14 (85), 22.03.2020 15:25 (8), 08.05.2023 11:55 (4)
Komplett: 🔍
Cache ID: 216::103
Be aware that VulDB is the high quality source for vulnerability data.
Bisher keine Kommentare. Sprachen: de + en.
Bitte loggen Sie sich ein, um kommentieren zu können.