oBike Bicycle Hangzhou Luoping Smart Locker Bluetooth LE erweiterte Rechte

CVSS Meta Temp Score	Aktueller Exploitpreis (≈)	CTI Interest Score
5.9	$0-$5k	0.00

Zusammenfassunginfo

Es wurde eine Schwachstelle in oBike Bicycle ausgemacht. Sie wurde als kritisch eingestuft. Betroffen davon ist eine unbekannte Funktion der Komponente Hangzhou Luoping Smart Locker. Mittels dem Manipulieren mit unbekannten Daten kann eine erweiterte Rechte-Schwachstelle (Bluetooth LE) ausgenutzt werden. Die Identifikation der Schwachstelle wird mit CVE-2018-16242 vorgenommen. Ein Angriff auf das physische Gerät kann durchgeführt werden. Es existiert kein Exploit. Es wird empfohlen, die betroffene Komponente mit einer alternativen Komponente zu ersetzen.

Detailsinfo

In oBike Bicycle - eine genaue Versionsangabe ist nicht möglich - wurde eine Schwachstelle ausgemacht. Sie wurde als kritisch eingestuft. Betroffen ist ein unbekannter Teil der Komponente Hangzhou Luoping Smart Locker. Durch die Manipulation mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle (Bluetooth LE) ausgenutzt werden. CWE definiert das Problem als CWE-284. Das hat Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. CVE fasst zusammen:

oBike relies on Hangzhou Luoping Smart Locker to lock bicycles, which allows attackers to bypass the locking mechanism by using Bluetooth Low Energy (BLE) to replay ciphertext based on a predictable nonce used in the locking protocol.

Entdeckt wurde das Problem am 13.09.2018. Die Schwachstelle wurde am 14.09.2018 in Form eines nicht definierten Mailinglist Posts (Bugtraq) an die Öffentlichkeit getragen. Das Advisory kann von seclists.org heruntergeladen werden. Eine eindeutige Identifikation der Schwachstelle wird seit dem 30.08.2018 mit CVE-2018-16242 vorgenommen. Die Schwachstelle ist relativ beliebt, und dies trotz ihrer hohen Komplexität. Die Umsetzung des Angriffs hat dabei lokal zu erfolgen. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Es sind weder technische Details noch ein Exploit zur Schwachstelle bekannt. Das MITRE ATT&CK Projekt deklariert die Angriffstechnik als T1068.

Insgesamt 1 Tage schien es sich um eine nicht veröffentlichte Zero-Day Schwachstelle gehandelt zu haben. Während dieser Zeit erzielte er wohl etwa $5k-$25k auf dem Schwarzmarkt.

Das Problem kann durch den Einsatz von als alternatives Produkt mitigiert werden.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

Produktinfo

Hersteller

• oBike

Name

• Bicycle

CPE 2.3info

• 🔍
• 🔍

CPE 2.2info

• 🔍
• 🔍

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 6.1
VulDB Meta Temp Score: 5.9

VulDB Base Score: 6.8
VulDB Temp Score: 6.6
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 5.3
NVD Vector: 🔍

CVSSv2info

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vektor	Komplexität	Authentisierung	Vertraulichkeit	Integrität	Verfügbarkeit
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Name: Bluetooth LE
Klasse: Erweiterte Rechte / Bluetooth LE
CWE: CWE-284 / CWE-266
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Ja
Lokal: Ja
Remote: Teilweise

Verfügbarkeit: 🔍
Status: Nicht definiert

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Day	freischalten	freischalten	freischalten	freischalten
Heute	freischalten	freischalten	freischalten	freischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Alternative
Status: 🔍

0-Day Time: 🔍

Timelineinfo

30.08.2018 🔍
13.09.2018 +14 Tage 🔍
14.09.2018 +0 Tage 🔍
14.09.2018 +0 Tage 🔍
16.09.2018 +2 Tage 🔍
24.03.2020 +555 Tage 🔍

Quelleninfo

Advisory: seclists.org
Status: Nicht definiert

CVE: CVE-2018-16242 (🔍)
GCVE (CVE): GCVE-0-2018-16242
GCVE (VulDB): GCVE-100-124072

Eintraginfo

Erstellt: 16.09.2018 07:30
Aktualisierung: 24.03.2020 07:38
Anpassungen: 16.09.2018 07:30 (60), 24.03.2020 07:38 (1)
Komplett: 🔍
Cache ID: 216::103

VulDB is the best source for vulnerability data and more expert information about this specific topic.

Diskussion

Do you want to use VulDB in your project?

Use the official API to access entries easily!