Internet Explorer OnKeyDown Event Focus Schwachstelle

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
5.7$0-$5k0.00

Zusammenfassunginfo

In Microsoft Internet Explorer 6/7 wurde eine problematische Schwachstelle gefunden. Es betrifft die Funktion OnKeyDown. Mit der Manipulation mit unbekannten Daten kann eine Cross Site Scripting-Schwachstelle ausgenutzt werden. Diese Verwundbarkeit ist als CVE-2007-5158 gelistet. Der Angriff kann remote ausgeführt werden. Ferner existiert ein Exploit. Es wird empfohlen, die betroffene Komponente zu deaktivieren.

Detailsinfo

Internet Explorer oder Windows Internet Explorer (Abkürzungen: IE oder MSIE) bezeichnet einen Webbrowser von Microsoft für das Betriebssystem Microsoft Windows. Seit Windows 95b, SR2 ist der Internet Explorer fester Bestandteil von Windows-Betriebssystemen. Bei älteren Windows-Versionen kann er nachinstalliert werden. Für einige Zeit gab es auch Versionen für Mac OS und Unix-Derivate (wie Solaris und HP-UX). Die derzeit aktuelle Version ist Windows Internet Explorer 7. Ronald van den Heetkamp berichtet, dass sich eine unlängst für Firefox erschienene Schwachstelle ebenfalls auf dem IE ausnutzbar erscheint. Es handelt sich dabei um eine Schwachstelle, bei der mittels des Event Handlers OnKeyDown beliebige Daten von der Festplatte des Benutzers auf einen Webserver hochgeladen werden können, sofern der Benutzer dazu gebracht werden kann, den entsprechenden Dateipfad in ein dafür vorgesehenes Eingabefeld einzugeben. Unter anderem wird der Fehler auch in den Datenbanken von X-Force (36848), SecurityFocus (BID 25836†), OSVDB (41382†), Secunia (SA27007†) und Vulnerability Center (SBV-16492†) dokumentiert. Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

Es ist kein neues Phänomen, dass Schwachstellen plötzlich auch für andere Browser adaptiert werden können. Es ist damit zu rechnen, dass Windows diese Schwachstelle im Rahmen des nächsten Security Bulletins adressiert. Bis dahin kann als Workaround die Deaktivierung des Active Scriptings empfohlen werden.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

Support

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 6.3
VulDB Meta Temp Score: 5.7

VulDB Base Score: 6.3
VulDB Temp Score: 5.7
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Cross Site Scripting
CWE: CWE-80 / CWE-74 / CWE-707
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Proof-of-Concept

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Deaktivieren
Status: 🔍

0-Day Time: 🔍

Timelineinfo

22.03.2001 🔍
26.09.2007 +2379 Tage 🔍
27.09.2007 +1 Tage 🔍
28.09.2007 +1 Tage 🔍
28.09.2007 +0 Tage 🔍
28.09.2007 +0 Tage 🔍
30.09.2007 +1 Tage 🔍
01.10.2007 +1 Tage 🔍
01.10.2007 +0 Tage 🔍
14.10.2007 +13 Tage 🔍
15.03.2021 +4901 Tage 🔍

Quelleninfo

Hersteller: microsoft.com

Advisory: 0x000000.com
Person: Ronald van den Heetkamp
Status: Nicht definiert

CVE: CVE-2007-5158 (🔍)
GCVE (CVE): GCVE-0-2007-5158
GCVE (VulDB): GCVE-100-3347
X-Force: 36848 - Microsoft Internet Explorer OnKeyDown information disclosure, Low Risk
SecurityFocus: 25836 - Microsoft Internet Explorer File Upload Vulnerability
Secunia: 27007 - Internet Explorer "OnKeyDown" Event Focus Weakness, Not Critical
OSVDB: 41382 - Microsoft IE OnKeyDown JavaScript htmlFor Attribute Keystroke Disclosure
Vulnerability Center: 16492 - Microsoft Internet Explorer 6.0 Remote Field Focus Change and Sensitive Information Disclosure, Medium

scip Labs: https://www.scip.ch/?labs.20161013

Eintraginfo

Erstellt: 01.10.2007 15:26
Aktualisierung: 15.03.2021 18:43
Anpassungen: 01.10.2007 15:26 (54), 07.04.2017 12:01 (22), 15.03.2021 18:43 (7)
Komplett: 🔍
Cache ID: 216::103

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Want to know what is going to be exploited?

We predict KEV entries!