Microsoft Project Server 2003 pdsrequest.asp gibt Passwort preis

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
3.8$0-$5k0.00

Zusammenfassunginfo

In Microsoft Project Server 2003 wurde eine Schwachstelle ausgemacht. Sie wurde als kritisch eingestuft. Es geht dabei um eine nicht klar definierte Funktion der Datei pdsrequest.asp. Durch Manipulieren mit unbekannten Daten kann eine schwache Authentisierung-Schwachstelle ausgenutzt werden. Diese Schwachstelle wird als CVE-2006-6617 gehandelt. Der Angriff kann über das Netzwerk passieren. Ausserdem ist ein Exploit verfügbar. Es wird empfohlen, eine restriktive Firewall-Konfiguration zu implementieren.

Detailsinfo

Project Server 2003 ist die Plattform für unternehmensweites Projektmanagement. Er dient Ihnen als Bindeglied für die Zusammenarbeit zwischen Projektmanagern, Teammitgliedern und anderweitig am Projekt beteiligten Einzelpersonen und Organisationen. Brett Moore hat einen Designfehler im Produkt gefunden. Dieses pflegt auf HTTP-basierende XML-Kommunikationen für den Datenaustausch zu nutzen. Durch eine POST-Anfrage auf die Datei /projectserver/logon/pdsrequest.asp kann dabei der Benutzername und das Passwort eines Users ausgelesen werden. Dieses kann für weiteren Missbrauch herhalten. Das Vorgehen ist im Posting, welches auf Full-Disclosure abgesetzt wurde, dokumentiert. Als Workaround wird lediglich Firewalling sowie der Einsatz möglichst unterschiedlicher Passwörter für verschiedene Dienste empfohlen. Unter anderem wird der Fehler auch in den Datenbanken von X-Force (30905), SecurityFocus (BID 21611†), OSVDB (31896†), Secunia (SA23391†) und SecurityTracker (ID 1017388†) dokumentiert. If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Ein wirklich ungünstiger Fehler, der sehr einfach auszunutzen ist. Die jeweiligen CGI-Scanner werden die Test-URL mit dem nächsten Release anbieten und so Skript-Kiddies Tür und Angel öffnen, um auf entsprechenden Systemen Schabernack treiben zu können. Das Einspielen des Patches und das Umsetzen eine soliden Firewalling-Konzepts wird deshalb unabdingbar.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 4.2
VulDB Meta Temp Score: 3.8

VulDB Base Score: 4.2
VulDB Temp Score: 3.8
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Schwache Authentisierung
CWE: CWE-287
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Proof-of-Concept
Download: 🔍
Google Hack: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Firewall
Status: 🔍

0-Day Time: 🔍

Patch: windowsupdate.microsoft.com

Timelineinfo

14.12.2006 🔍
15.12.2006 +1 Tage 🔍
15.12.2006 +0 Tage 🔍
17.12.2006 +2 Tage 🔍
18.12.2006 +1 Tage 🔍
18.12.2006 +0 Tage 🔍
18.12.2006 +0 Tage 🔍
18.12.2006 +0 Tage 🔍
19.12.2006 +0 Tage 🔍
20.12.2006 +1 Tage 🔍
07.06.2017 +3822 Tage 🔍

Quelleninfo

Hersteller: microsoft.com

Advisory: lists.grok.org.uk
Person: Brett Moore
Firma: security-assessment.com
Status: Nicht definiert

CVE: CVE-2006-6617 (🔍)
GCVE (CVE): GCVE-0-2006-6617
GCVE (VulDB): GCVE-100-2765
X-Force: 30905 - Microsoft Project Server 2003 pdsrequest.asp information disclosure, Medium Risk
SecurityFocus: 21611 - Microsoft Project Server 2003 PDSRequest.ASP XML Request Information Disclosure Vulnerability
Secunia: 23391 - Microsoft Project Server Information Disclosure Security Issue, Less Critical
OSVDB: 31896 - Microsoft Project Server pdsrequest.asp GetInitializationData Request SQL Database Password Disclosure
SecurityTracker: 1017388 - Microsoft Project Discloses Database Password to Remote Authenticated Users
SecuriTeam: securiteam.com
Vulnerability Center: 13412 - Microsoft Project Server 2003 Allows to Obtain the MSProjectUser Password, Medium
Vupen: ADV-2006-5038

scip Labs: https://www.scip.ch/?labs.20161013

Eintraginfo

Erstellt: 20.12.2006 10:28
Aktualisierung: 07.06.2017 14:55
Anpassungen: 20.12.2006 10:28 (84), 07.06.2017 14:55 (7)
Komplett: 🔍
Cache ID: 216:02D:103

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Might our Artificial Intelligence support you?

Check our Alexa App!