SAP J2EE Engine 7.01 /TestJDBC_Web/test2 sys_jdbc Reflected Cross Site Scripting

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
3.4$0-$5k0.00

Zusammenfassunginfo

In SAP J2EE Engine 7.01 wurde eine Schwachstelle ausgemacht. Sie wurde als problematisch eingestuft. Es geht um eine nicht näher bekannte Funktion der Datei /TestJDBC_Web/test2. Durch Manipulieren des Arguments sys_jdbc mit unbekannten Daten kann eine Cross Site Scripting-Schwachstelle (Reflected) ausgenutzt werden. Die Identifikation der Schwachstelle findet als CVE-2018-17864 statt. Der Angriff kann über das Netzwerk angegangen werden. Es steht kein Exploit zur Verfügung. Es wird geraten, die betroffene Komponente zu aktualisieren.

Detailsinfo

Es wurde eine Schwachstelle in SAP J2EE Engine 7.01 entdeckt. Sie wurde als problematisch eingestuft. Hiervon betroffen ist eine unbekannte Funktionalität der Datei /TestJDBC_Web/test2. Durch Manipulation des Arguments sys_jdbc mit einer unbekannten Eingabe kann eine Cross Site Scripting-Schwachstelle (Reflected) ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-80 vorgenommen. Auswirkungen hat dies auf die Integrität.

Gefunden wurde das Problem am 10.08.2018. Die Schwachstelle wurde am 04.03.2019 durch Ece Orsel von Biznet Bilisim A.S. als SAP J2EE Engine/7.01/Fiori Reflected Cross Site Scripting (XSS) in Form eines bestätigten Mailinglist Posts (Full-Disclosure) publiziert. Bereitgestellt wird das Advisory unter seclists.org. Die Herausgabe passierte in Zusammenarbeit mit SAP. Die Identifikation der Schwachstelle wird seit dem 01.10.2018 mit CVE-2018-17864 vorgenommen. Der Angriff kann über das Netzwerk erfolgen. Eine Ausnutzung erfordert, dass das Opfer eine spezifische Handlung durchführt. Es sind zwar technische Details, jedoch kein verfügbarer Exploit zur Schwachstelle bekannt. Als Angriffstechnik weist das MITRE ATT&CK Projekt die ID T1059.007 aus.

Vor einer Veröffentlichung handelte es sich 235 Tage um eine Zero-Day Schwachstelle. Während dieser Zeit erzielte er wohl etwa $5k-$25k auf dem Schwarzmarkt.

Ein Aktualisieren vermag dieses Problem zu lösen.

Mit dieser Schwachstelle verwandte Einträge finden sich unter VDB-132742 und VDB-132744. If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Produktinfo

Hersteller

Name

Version

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 3.5
VulDB Meta Temp Score: 3.4

VulDB Base Score: 3.5
VulDB Temp Score: 3.4
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Name: Reflected
Klasse: Cross Site Scripting / Reflected
CWE: CWE-80 / CWE-74 / CWE-707
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Nicht definiert
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔍

Timelineinfo

12.07.2018 🔍
19.07.2018 +7 Tage 🔍
10.08.2018 +22 Tage 🔍
01.10.2018 +52 Tage 🔍
04.03.2019 +154 Tage 🔍
03.04.2019 +30 Tage 🔍
23.05.2020 +416 Tage 🔍

Quelleninfo

Hersteller: sap.com

Advisory: SAP J2EE Engine/7.01/Fiori Reflected Cross Site Scripting (XSS)
Person: Ece Orsel
Firma: Biznet Bilisim A.S.
Status: Bestätigt
Koordiniert: 🔍

CVE: CVE-2018-17864 (🔍)
GCVE (CVE): GCVE-0-2018-17864
GCVE (VulDB): GCVE-100-132741
scip Labs: https://www.scip.ch/?labs.20150716
Siehe auch: 🔍

Eintraginfo

Erstellt: 03.04.2019 11:05
Aktualisierung: 23.05.2020 22:18
Anpassungen: 03.04.2019 11:05 (50), 23.05.2020 22:18 (1)
Komplett: 🔍
Cache ID: 216::103

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Are you interested in using VulDB?

Download the whitepaper to learn more about our service!