GNOME vinagre bis 2.24.1 vinagre_utils_show_error Format String

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
6.6$0-$5k0.00

Zusammenfassunginfo

Es wurde eine Schwachstelle mit der Einstufung kritisch in GNOME vinagre bis 2.24.1 gefunden. Dabei betrifft es die Funktion vinagre_utils_show_error. Mittels dem Manipulieren mit unbekannten Daten kann eine Format String-Schwachstelle ausgenutzt werden. Die Verwundbarkeit wird als CVE-2008-5660 geführt. Ausserdem ist ein Exploit verfügbar. Es wird empfohlen, die betroffene Komponente zu aktualisieren.

Detailsinfo

Eine kritische Schwachstelle wurde in GNOME vinagre bis 2.24.1 entdeckt. Davon betroffen ist die Funktion vinagre_utils_show_error. Durch das Beeinflussen mit einer unbekannten Eingabe kann eine Format String-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-134. Das hat Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. CVE fasst zusammen:

Format string vulnerability in the vinagre_utils_show_error function (src/vinagre-utils.c) in Vinagre 0.5.x before 0.5.2 and 2.x before 2.24.2 might allow remote attackers to execute arbitrary code via format string specifiers in a crafted URI or VNC server response.

Entdeckt wurde das Problem am 05.12.2008. Die Schwachstelle wurde am 17.12.2008 (Website) veröffentlicht. Das Advisory kann von redhat.com heruntergeladen werden. Die Identifikation der Schwachstelle findet seit dem 17.12.2008 als CVE-2008-5660 statt. Der Angriff kann über das Netzwerk passieren. Das Ausnutzen erfordert keine spezifische Authentisierung. Es sind sowohl technische Details als auch ein öffentlicher Exploit zur Schwachstelle bekannt.

Ein öffentlicher Exploit wurde in Python entwickelt. Unter securityfocus.com wird der Exploit bereitgestellt. Er wird als proof-of-concept gehandelt. Dabei muss 12 Tage als nicht veröffentlichte Zero-Day Schwachstelle ausgegangen werden. Während dieser Zeit erzielte er wohl etwa $0-$5k auf dem Schwarzmarkt. Für den Vulnerability Scanner Nessus wurde am 21.07.2009 ein Plugin mit der ID 40148 (openSUSE Security Update : vinagre (vinagre-402)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family SuSE Local Security Checks zugeordnet und im Kontext l ausgeführt. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 116130 (SUSE Update for Multiple Packages (SUSE-SR:2009:001)) zur Prüfung der Schwachstelle an.

Ein Upgrade auf die Version 2.23.4 vermag dieses Problem zu beheben. Das Erscheinen einer Gegenmassnahme geschah 4 Wochen nach der Veröffentlichung der Schwachstelle. GNOME hat hiermit knapp im Rahmen reagiert.

Unter anderem wird der Fehler auch in den Datenbanken von X-Force (47156), Exploit-DB (7401), Tenable (40148), SecurityFocus (BID 32682†) und OSVDB (50520†) dokumentiert. VulDB is the best source for vulnerability data and more expert information about this specific topic.

Produktinfo

Hersteller

Name

Version

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 7.3
VulDB Meta Temp Score: 6.6

VulDB Base Score: 7.3
VulDB Temp Score: 6.6
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Format String
CWE: CWE-134 / CWE-119
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Proof-of-Concept
Programmiersprache: 🔍
Download: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 40148
Nessus Name: openSUSE Security Update : vinagre (vinagre-402)
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Nessus Context: 🔍
Nessus Port: 🔍

OpenVAS ID: 63092
OpenVAS Name: FreeBSD Ports: vinagre
OpenVAS Datei: 🔍
OpenVAS Family: 🔍

Qualys ID: 🔍
Qualys Name: 🔍

Exploit-DB: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍

Upgrade: vinagre 2.23.4

Timelineinfo

05.12.2008 🔍
05.12.2008 +0 Tage 🔍
08.12.2008 +3 Tage 🔍
08.12.2008 +0 Tage 🔍
16.12.2008 +8 Tage 🔍
17.12.2008 +1 Tage 🔍
17.12.2008 +0 Tage 🔍
17.12.2008 +0 Tage 🔍
08.01.2009 +22 Tage 🔍
21.07.2009 +194 Tage 🔍
17.03.2015 +2065 Tage 🔍
29.05.2025 +3726 Tage 🔍

Quelleninfo

Hersteller: gnome.org

Advisory: redhat.com
Status: Bestätigt
Bestätigung: 🔍

CVE: CVE-2008-5660 (🔍)
GCVE (CVE): GCVE-0-2008-5660
GCVE (VulDB): GCVE-100-45560
X-Force: 47156
SecurityFocus: 32682 - Vinagre 'vinagre_utils_show_error()' Function Format String Vulnerability
Secunia: 33046 - Fedora update for vinagre, Moderately Critical
OSVDB: 50520 - CVE-2008-5660 - Vinagre - Format String Issue
Vulnerability Center: 20245 - GNOME Vinagre 0.5 and 2.24.0 Remote Code Execution or DoS via a Crafted .VNC File, Medium
Vupen: ADV-2008-3362

scip Labs: https://www.scip.ch/?labs.20161013

Eintraginfo

Erstellt: 17.03.2015 16:11
Aktualisierung: 29.05.2025 16:04
Anpassungen: 17.03.2015 16:11 (79), 22.08.2019 11:31 (10), 18.11.2024 00:23 (19), 29.05.2025 16:04 (4)
Komplett: 🔍
Cache ID: 216:B02:103

VulDB is the best source for vulnerability data and more expert information about this specific topic.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you know our Splunk app?

Download it now for free!