Kaspersky Anti-Spam 3.0 aslic_status.cgi Information Disclosure
| CVSS Meta Temp Score | Aktueller Exploitpreis (≈) | CTI Interest Score |
|---|---|---|
| 6.6 | $0-$5k | 0.00 |
Zusammenfassung
In Kaspersky Anti-Spam 3.0 wurde eine problematische Schwachstelle gefunden. Hierbei geht es um eine nicht exakt ausgemachte Funktion der Datei aslic_status.cgi. Durch Manipulation mit unbekannten Daten kann eine Information Disclosure-Schwachstelle ausgenutzt werden. Die Verwundbarkeit wird unter CVE-2007-3502 geführt. Es ist soweit kein Exploit verfügbar. Als bestmögliche Massnahme wird das Einspielen eines Upgrades empfohlen.
Details
In Kaspersky Anti-Spam 3.0 (Anti-Spam Software) wurde eine Schwachstelle gefunden. Sie wurde als kritisch eingestuft. Hierbei betrifft es ein unbekannter Ablauf der Datei aslic_status.cgi. Durch die Manipulation mit einer unbekannten Eingabe kann eine Information Disclosure-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-200. Die Auswirkungen sind bekannt für Vertraulichkeit, Integrität und Verfügbarkeit. Die Zusammenfassung von CVE lautet:
Unspecified vulnerability in the web-based product configuration system in Kaspersky Anti-Spam before 3.0 MP1 allows remote attackers to obtain access to certain directories.Die Schwachstelle wurde am 28.06.2007 (Website) öffentlich gemacht. Das Advisory findet sich auf kaspersky.com. Die Verwundbarkeit wird seit dem 29.06.2007 als CVE-2007-3502 geführt. Sie ist leicht auszunutzen. Der Angriff kann über das Netzwerk angegangen werden. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Technische Details sind bekannt, ein verfügbarer Exploit hingegen nicht. Diese Schwachstelle wird durch das MITRE ATT&CK als Angriffstechnik T1592 bezeichnet.
Er wird als proof-of-concept gehandelt. Für den Vulnerability Scanner Nessus wurde am 29.06.2007 ein Plugin mit der ID 25626 (Kaspersky Anti-Spam Control Center Web Config aslic_status.cgi Directory Listing) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family CGI abuses zugeordnet.
Ein Aktualisieren auf die Version 3.0 vermag dieses Problem zu lösen.
Unter anderem wird der Fehler auch in den Datenbanken von X-Force (35130), Tenable (25626), SecurityFocus (BID 24692†), OSVDB (37217†) und Secunia (SA25857†) dokumentiert. Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.
Produkt
Typ
Hersteller
Name
Version
Lizenz
Webseite
- Hersteller: https://www.kaspersky.com/
CPE 2.3
CPE 2.2
CVSSv4
VulDB Vector: 🔍VulDB Zuverlässigkeit: 🔍
CVSSv3
VulDB Meta Base Score: 7.3VulDB Meta Temp Score: 6.6
VulDB Base Score: 7.3
VulDB Temp Score: 6.6
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| Vektor | Komplexität | Authentisierung | Vertraulichkeit | Integrität | Verfügbarkeit |
|---|---|---|---|---|---|
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍
NVD Base Score: 🔍
Exploiting
Klasse: Information DisclosureCWE: CWE-200 / CWE-284 / CWE-266
CAPEC: 🔍
ATT&CK: 🔍
Physisch: Nein
Lokal: Nein
Remote: Ja
Verfügbarkeit: 🔍
Status: Proof-of-Concept
EPSS Score: 🔍
EPSS Percentile: 🔍
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍
| 0-Day | freischalten | freischalten | freischalten | freischalten |
|---|---|---|---|---|
| Heute | freischalten | freischalten | freischalten | freischalten |
Nessus ID: 25626
Nessus Name: Kaspersky Anti-Spam Control Center Web Config aslic_status.cgi Directory Listing
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Threat Intelligence
Interesse: 🔍Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍
Gegenmassnahmen
Empfehlung: UpgradeStatus: 🔍
0-Day Time: 🔍
Upgrade: Anti-Spam 3.0
Timeline
28.06.2007 🔍28.06.2007 🔍
28.06.2007 🔍
28.06.2007 🔍
29.06.2007 🔍
29.06.2007 🔍
29.06.2007 🔍
29.06.2007 🔍
02.07.2007 🔍
15.03.2015 🔍
20.07.2021 🔍
Quellen
Hersteller: kaspersky.comAdvisory: kaspersky.com
Status: Bestätigt
Bestätigung: 🔍
CVE: CVE-2007-3502 (🔍)
GCVE (CVE): GCVE-0-2007-3502
GCVE (VulDB): GCVE-100-37579
X-Force: 35130
SecurityFocus: 24692 - Kaspersky Anti-Spam Unauthorized Directory Access Authentication Bypass Vulnerability
Secunia: 25857
OSVDB: 37217 - Kaspersky Anti-Spam Control Center Web Config aslic_status.cgi Directory Listing
SecurityTracker: 1018324 - Kaspersky Anti-Spam Product Configuration System Grants Directory Access to Users
Vulnerability Center: 15520 - Kaspersky Anti-Spam Design Error Allows Unauthorized Directory Access, High
Vupen: ADV-2007-2382
Eintrag
Erstellt: 15.03.2015 15:58Aktualisierung: 20.07.2021 16:16
Anpassungen: 15.03.2015 15:58 (65), 18.08.2017 13:43 (11), 20.07.2021 16:16 (3)
Komplett: 🔍
Cache ID: 216::103
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.
Bisher keine Kommentare. Sprachen: de + en.
Bitte loggen Sie sich ein, um kommentieren zu können.