ePortfolio Version 1.0 Java Multiple Input Validation Vulnerabilities

CVSS Meta Temp Score	Aktueller Exploitpreis (≈)	CTI Interest Score
5.2	$0-$5k	0.00

Zusammenfassunginfo

Es wurde eine Schwachstelle in ePortfolio 1.0 gefunden. Sie wurde als kritisch eingestuft. Hierbei geht es um eine nicht exakt ausgemachte Funktion der Komponente Java. Durch Beeinflussen mit unbekannten Daten kann eine unbekannte Schwachstelle ausgenutzt werden. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Es gibt keinen verfügbaren Exploit. Die Aktualisierung der betroffenen Komponente wird empfohlen.

Detailsinfo

ePortfolio ist eine eBanking Applikation der TKS-Banking Solutions. Stefan Friedli fand diverse web-basierte Schwachstellen, die durch das komplette Fehlen einer serverseitigen Eingabevalidierung entstanden. Dies erlaubt es einem Angreifer durch den Einsatz eines lokalen Proxies wie WebScarab oder BurpProxy die implementierte JavaScript Validierung komplett zu umgehen und beliebige Daten zu übermitteln. In der Folge können diverse Angriffsfomen wie klassisches Phishing, Session Riding oder Cross-Site-Scripting umgesetzt werden. Die Schwachstellen VDB-2962 sind ähnlich. If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Das komplette Fehlen serverseitiger Validierung von Eingabedaten ist im Anbetracht der heutigen Situation im Bereich der Webapplikationssicherheit nicht mehr tragbar. Entsprechend hoch ist auch das Angriffspotential auf die betroffenene Applikation, die baldmöglichst, wenn nötig in direktem Kontakt mit dem Hersteller, dagegen immunisiert werden sollte.

Produktinfo

Name

• ePortfolio

Version

• 1.0

CPE 2.3info

• 🔍

CPE 2.2info

• 🔍

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 5.4
VulDB Meta Temp Score: 5.2

VulDB Base Score: 5.4
VulDB Temp Score: 5.2
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vektor	Komplexität	Authentisierung	Vertraulichkeit	Integrität	Verfügbarkeit
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Unbekannt
CWE: Unbekannt
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Nicht definiert
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Day	freischalten	freischalten	freischalten	freischalten
Heute	freischalten	freischalten	freischalten	freischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔍

Timelineinfo

22.12.2006 🔍
22.12.2006 +0 Tage 🔍
05.03.2007 +72 Tage 🔍

Quelleninfo

Advisory: scip.ch
Person: Stefan Friedli
Firma: scip AG
Status: Nicht definiert

GCVE (VulDB): GCVE-100-2893
Siehe auch: 🔍

Eintraginfo

Erstellt: 22.12.2006 09:46
Anpassungen: 22.12.2006 09:46 (47)
Komplett: 🔍
Editor: stfr
Cache ID: 216::103

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Diskussion

Do you need the next level of professionalism?

Upgrade your account now!