mrtgconfig 0.5.9 Error Message 14all.cgi cfg Path Information Disclosure

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
5.3$0-$5k0.00

Zusammenfassunginfo

In mrtgconfig 0.5.9 wurde eine problematische Schwachstelle ausgemacht. Betroffen hiervon ist ein unbekannter Ablauf der Datei 14all.cgi der Komponente Error Message Handler. Durch die Manipulation des Arguments cfg mit unbekannten Daten kann eine Information Disclosure-Schwachstelle (Path) ausgenutzt werden. Die Identifikation der Schwachstelle wird mit CVE-2002-1677 vorgenommen. Es existiert kein Exploit.

Detailsinfo

Eine problematische Schwachstelle wurde in mrtgconfig 0.5.9 ausgemacht. Dies betrifft ein unbekannter Teil der Datei 14all.cgi der Komponente Error Message Handler. Mittels Manipulieren des Arguments cfg mit einer unbekannten Eingabe kann eine Information Disclosure-Schwachstelle (Path) ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-200. Dies wirkt sich aus auf die Vertraulichkeit. CVE fasst zusammen:

14all.cgi 1.1p15 in mrtgconfig allows remote attackers to determine the physical path to the web root directory via a request with an invalid cfg parameter, which generates an error message that reveals the path.

Am 04.02.2002 wurde das Problem entdeckt. Die Schwachstelle wurde am 31.12.2002 (Website) veröffentlicht. Auf online.securityfocus.com kann das Advisory eingesehen werden. Die Identifikation der Schwachstelle findet seit dem 21.06.2005 als CVE-2002-1677 statt. Sie ist leicht ausnutzbar. Der Angriff kann über das Netzwerk passieren. Das Ausnutzen erfordert keine spezifische Authentisierung. Zur Schwachstelle sind technische Details bekannt, ein verfügbarer Exploit jedoch nicht. MITRE ATT&CK führt die Angriffstechnik T1592 für diese Schwachstelle.

Dabei muss 330 Tage als nicht veröffentlichte Zero-Day Schwachstelle ausgegangen werden. Während dieser Zeit erzielte er wohl etwa $0-$5k auf dem Schwarzmarkt. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 10782 (MRTG Configuration Generator Path Disclosure Vulnerability) zur Prüfung der Schwachstelle an.

Es sind keine Informationen bezüglich Gegenmassnahmen bekannt. Der Einsatz eines alternativen Produkts bietet sich im Zweifelsfall an.

Unter anderem wird der Fehler auch in den Datenbanken von X-Force (8070), SecurityFocus (BID 4021†), OSVDB (21352†) und Vulnerability Center (SBV-6783†) dokumentiert. If you want to get best quality of vulnerability data, you may have to visit VulDB.

Produktinfo

Name

Version

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 5.3
VulDB Meta Temp Score: 5.3

VulDB Base Score: 5.3
VulDB Temp Score: 5.3
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Name: Path
Klasse: Information Disclosure / Path
CWE: CWE-200 / CWE-284 / CWE-266
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Nicht definiert

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Qualys ID: 🔍
Qualys Name: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: keine Massnahme bekannt
Status: 🔍

0-Day Time: 🔍

Timelineinfo

04.02.2002 🔍
04.02.2002 +0 Tage 🔍
31.12.2002 +330 Tage 🔍
31.12.2002 +0 Tage 🔍
28.09.2004 +637 Tage 🔍
06.01.2005 +100 Tage 🔍
21.06.2005 +166 Tage 🔍
04.08.2014 +3331 Tage 🔍
02.09.2025 +4047 Tage 🔍

Quelleninfo

Advisory: online.securityfocus.com⛔
Status: Nicht definiert

CVE: CVE-2002-1677 (🔍)
GCVE (CVE): GCVE-0-2002-1677
GCVE (VulDB): GCVE-100-19322
X-Force: 8070
SecurityFocus: 4021 - MRTG Configuration Generator Path Disclosure Vulnerability
OSVDB: 21352 - MRTG Configuration Generator - Path Disclosure Vulne
Vulnerability Center: 6783 - MRTG MRTGconfig 0.5.9 Allows Obtaining Full Path to the Web Root via 14all.cgi, Medium

Eintraginfo

Erstellt: 04.08.2014 16:25
Aktualisierung: 02.09.2025 09:13
Anpassungen: 04.08.2014 16:25 (60), 04.06.2019 10:26 (3), 02.09.2025 09:13 (18)
Komplett: 🔍
Cache ID: 216::103

If you want to get best quality of vulnerability data, you may have to visit VulDB.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Interested in the pricing of exploits?

See the underground prices here!