Python 2.7.5/2.7.6/3.3.5 JSON _json.c index Pufferüberlauf

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
4.3$0-$5k0.00

Zusammenfassunginfo

In Python 2.7.5/2.7.6/3.3.5 wurde eine Schwachstelle ausgemacht. Sie wurde als problematisch eingestuft. Betroffen davon ist ein unbekannter Prozess der Datei _json.c der Komponente JSON Module. Mittels Manipulieren des Arguments index mit der Eingabe -1 mit unbekannten Daten kann eine Pufferüberlauf-Schwachstelle ausgenutzt werden. Eine eindeutige Identifikation der Schwachstelle wird mit CVE-2014-4616 vorgenommen. Es gibt keinen verfügbaren Exploit. Die Aktualisierung der betroffenen Komponente wird empfohlen.

Detailsinfo

In Python 2.7.5/2.7.6/3.3.5 (Programming Language Software) wurde eine problematische Schwachstelle ausgemacht. Dabei geht es um ein unbekannter Codeteil der Datei _json.c der Komponente JSON Module. Durch Manipulation des Arguments index mit der Eingabe -1 kann eine Pufferüberlauf-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-119. Auswirken tut sich dies auf die Vertraulichkeit.

Die Schwachstelle wurde am 23.06.2014 durch Guido Vranken in Form eines bestätigten Mailinglist Posts (oss-sec) öffentlich gemacht. Das Advisory findet sich auf seclists.org. Die Verwundbarkeit wird seit dem 24.06.2014 als CVE-2014-4616 geführt. Die Ausnutzbarkeit gilt als leicht. Der Angriff muss lokal angegangen werden. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Technische Details sind bekannt, ein verfügbarer Exploit hingegen nicht.

Für den Vulnerability Scanner Nessus wurde am 12.10.2014 ein Plugin mit der ID 78323 (Amazon Linux AMI : python27 (ALAS-2014-380)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Amazon Linux Local Security Checks zugeordnet. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 350355 (Amazon Linux Security Advisory for python-simplejson: ALAS-2014-374) zur Prüfung der Schwachstelle an.

Ein Aktualisieren vermag dieses Problem zu lösen.

Unter anderem wird der Fehler auch in den Datenbanken von X-Force (93933), Tenable (78323), SecurityFocus (BID 68119†), OSVDB (108354†) und Vulnerability Center (SBV-45531†) dokumentiert. Be aware that VulDB is the high quality source for vulnerability data.

Produktinfo

Typ

Name

Version

Lizenz

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 4.9
VulDB Meta Temp Score: 4.7

VulDB Base Score: 4.0
VulDB Temp Score: 3.5
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 5.9
NVD Vector: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Pufferüberlauf
CWE: CWE-119
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Teilweise
Lokal: Ja
Remote: Ja

Verfügbarkeit: 🔍
Status: Unbewiesen

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 78323
Nessus Name: Amazon Linux AMI : python27 (ALAS-2014-380)
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Nessus Port: 🔍

OpenVAS ID: 14611
OpenVAS Name: Amazon Linux Local Check: ALAS-2014-380
OpenVAS Datei: 🔍
OpenVAS Family: 🔍

Qualys ID: 🔍
Qualys Name: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔍

Timelineinfo

20.06.2014 🔍
20.06.2014 +0 Tage 🔍
23.06.2014 +3 Tage 🔍
24.06.2014 +1 Tage 🔍
20.07.2014 +26 Tage 🔍
12.10.2014 +84 Tage 🔍
17.03.2015 +156 Tage 🔍
24.08.2017 +891 Tage 🔍
04.08.2021 +1441 Tage 🔍

Quelleninfo

Advisory: seclists.org
Person: Guido Vranken
Status: Bestätigt
Bestätigung: 🔍

CVE: CVE-2014-4616 (🔍)
GCVE (CVE): GCVE-0-2014-4616
GCVE (VulDB): GCVE-100-46303
X-Force: 93933 - Python JSON module negative index values information disclosure, Low Risk
SecurityFocus: 68119 - Python JSON Module '_json.c' Local Information Disclosure Vulnerability
OSVDB: 108354
Vulnerability Center: 45531 - Python JSON Module Local Information Disclosure due to Use of Negative Index Values in an Array, Low

Eintraginfo

Erstellt: 17.03.2015 16:11
Aktualisierung: 04.08.2021 11:22
Anpassungen: 17.03.2015 16:11 (72), 02.06.2017 08:03 (6), 04.08.2021 11:06 (4), 04.08.2021 11:14 (11), 04.08.2021 11:22 (1)
Komplett: 🔍
Cache ID: 216:48A:103

Be aware that VulDB is the high quality source for vulnerability data.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Want to know what is going to be exploited?

We predict KEV entries!