VDB-2850 · CVE-2007-0408 · BID 22082

BEA WebLogic bis 8.1 config.xml Backup-Kopie fehlende Verschlüsselung

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
7.4$0-$5k0.00

Zusammenfassunginfo

In BEA WebLogic 8.1 wurde eine Schwachstelle gefunden. Sie wurde als kritisch eingestuft. Betroffen ist eine unbekannte Verarbeitung der Datei config.xml der Komponente Backup Handler. Durch das Beeinflussen mit unbekannten Daten kann eine schwache Verschlüsselung-Schwachstelle ausgenutzt werden. Die Verwundbarkeit wird als CVE-2007-0408 geführt. Es ist möglich, den Angriff aus der Ferne durchzuführen. Es ist kein Exploit verfügbar. Es wird empfohlen, einen Patch anzuwenden, um dieses Problem zu beheben.

Detailsinfo

BEA Weblogic Server erhöhen die Produktivität und senken die Kosten der IT-Abteilungen, indem er eine einheitliche, vereinfachte und erweiterbare Architektur bietet. Der BEA Weblogic Server basiert auf Applikationsinfrastruktur-Technologien von verschiedenen BEA Produkten. Gleich zwanzig, teilweise kritische, Schwachstellen wurden in den aktuellen Versionen von BEA WebLogic gefunden. Eine davon betrifft die Datei confic.xml. Wird diese offline durch einen Administrator bearbeitet und neu eingelesen, erstellt WebLogic eine Kopie dessen. Dabei wird auf das Nutzen zusätzlicher Verschlüsselung verzichtet, wodurch ein externer Angreifer in den Besitz sensitiver Daten kommen könnte. Weitere Details oder ein Exploit sind nicht bekannt. BEA hat das Problem mit einem aktuellen Service Pack behoben. Unter anderem wird der Fehler auch in den Datenbanken von SecurityFocus (BID 22082†), OSVDB (38500†), Secunia (SA23750†) und SecurityTracker (ID 1017519†) dokumentiert. Schwachstellen ähnlicher Art sind dokumentiert unter VDB-2858, VDB-2856, VDB-2847 und VDB-2852. If you want to get best quality of vulnerability data, you may have to visit VulDB.

Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 86766 (BEA WebLogic Multiple Vulnerabilities (2007)) zur Prüfung der Schwachstelle an.

Einmal mehr ist der Patchday von BEA ein verheissungsvoller Tag für den Hersteller, die Administratoren und Nutzer. Rund 20 neue und zum Grossteil schwerwiegende Schwachstellen mussten anerkannt und mit Patches honoriert werden. Das Einspielen dieser dürfte für so manchen Administrator eine sehr unangenehme Aufgabe sein, die jedoch dringlichst zu empfehlen ist. Es ist nur eine Frage der Zeit, bis die jüngsten Sicherheitslücken durch neue Würmer, Viren und Exploits automatisiert ausgenutzt werden können. Eile tut deshalb an dieser Stelle Not.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 8.2
VulDB Meta Temp Score: 7.4

VulDB Base Score: 8.2
VulDB Temp Score: 7.4
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Schwache Verschlüsselung
CWE: CWE-311 / CWE-310
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Proof-of-Concept
Google Hack: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Qualys ID: 🔍
Qualys Name: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Patch
Status: 🔍

0-Day Time: 🔍

Patch: dev2dev.bea.com

Timelineinfo

16.01.2007 🔍
16.01.2007 +0 Tage 🔍
17.01.2007 +1 Tage 🔍
22.01.2007 +5 Tage 🔍
22.01.2007 +0 Tage 🔍
22.01.2007 +0 Tage 🔍
15.03.2021 +5166 Tage 🔍

Quelleninfo

Hersteller: oracle.com

Advisory: dev2dev.bea.com
Person: http://www.bea.com
Firma: BEA
Status: Bestätigt

CVE: CVE-2007-0408 (🔍)
GCVE (CVE): GCVE-0-2007-0408
GCVE (VulDB): GCVE-100-2850
SecurityFocus: 22082 - BEA Multiple Products Multiple Vulnerabilities
Secunia: 23750 - BEA WebLogic Multiple Vulnerabilities and Security Issues, Moderately Critical
OSVDB: 38500
SecurityTracker: 1017519 - WebLogic Certificate Validation Error May Let Remote Users Access the System in Certain Cases
Vupen: ADV-2007-0213

Siehe auch: 🔍

Eintraginfo

Erstellt: 22.01.2007 10:51
Aktualisierung: 15.03.2021 08:16
Anpassungen: 22.01.2007 10:51 (63), 07.06.2017 16:01 (8), 15.03.2021 08:16 (7)
Komplett: 🔍
Cache ID: 216::103

If you want to get best quality of vulnerability data, you may have to visit VulDB.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Are you interested in using VulDB?

Download the whitepaper to learn more about our service!