NetIQ WebTrends 6.x Reporting Center /viewreport.pl?profileid= gibt Pfad preis

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
3.4$0-$5k0.00

Zusammenfassunginfo

Eine problematische Schwachstelle wurde in NetIQ WebTrends 6.1a gefunden. Dabei betrifft es einen unbekannter Codeteil der Datei /viewreport.pl der Komponente Reporting Center. Die Bearbeitung des Arguments profileid verursacht Information Disclosure. Diese Schwachstelle trägt die Bezeichnung CVE-2004-2748. Der Angriff kann über das Netzwerk passieren. Zusätzlich gibt es einen verfügbaren Exploit. Als bestmögliche Massnahme wird der Einsatz von Firewalling empfohlen.

Detailsinfo

Das WebTrends Reporting Center kann mittels einem Webbrowser über die Webschnittstelle administriert werden. Das Perl-Skript /viewreport.pl weist einen Fehler auf, durch den ein Angreifer in den Besitz des Wissens um den Pfad der Applikation kommen kann. Dadurch muss dem Parameter profileid= eine nicht existierende Datei übergeben werden. Das System antwortet sodann mit einer Fehlermeldung im Stil von "Unable to load language file - path=(C:/Programs/WEBTE~1/)" [siehe http://www.oliverkarow.de/research/WT.jpg]. Ein Angreifer kann dieses Wissen für weitere Auswertungen und Angriffe gebrauchen. Laut Posting auf Bugtraq wurde der Hersteller am 05. Januar 2004 über die Existenz der Sicherheitslücke informiert und bestätigte den Erhalt der Nachricht. Seitdem ist jedoch laut Oliver Karow nichts weiter passiert. Als Workaround wird empfohlen den Zugriff auf das verwundbare Skript mittels Firewalling einzuschränken. NetIQ wird voraussichtlich den Fehler mit einem Patch oder dedizierten Workaround beheben. Unter anderem wird der Fehler auch in den Datenbanken von Exploit-DB (23559), SecurityFocus (BID 9460†), OSVDB (3680†), Secunia (SA10689†) und SecurityTracker (ID 1008799†) dokumentiert. Unter oliverkarow.de werden zusätzliche Informationen bereitgestellt. VulDB is the best source for vulnerability data and more expert information about this specific topic.

Im hart umkämpften Software-Markt zählt vor allem eins als Verkaufsargument: Komfort für die Benutzer. Leider vergessen die Entwickler von Software oft, dass Komfort nicht auf Kosten der Sicherheit gehen darf. So auch in diesem Fall. Die freizügigen Informationen sollten den Administratoren des Systems möglichst viele Informationen für die Fehlerbehebung liefern. Diese Daten können jedoch auch von Angreifern für ihre Zwecke genutzt werden. Solche Schwachstellen kommen immerwieder vor. Sie sind zwar nicht wirklich problematisch, aber dennoch ein Schönheitsfehler, auf den man hätte verzichten können.

Produktinfo

Hersteller

Name

Version

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 3.7
VulDB Meta Temp Score: 3.4

VulDB Base Score: 3.7
VulDB Temp Score: 3.4
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Information Disclosure
CWE: CWE-200 / CWE-284 / CWE-266
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Proof-of-Concept
Download: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Exploit-DB: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Firewall
Status: 🔍

0-Day Time: 🔍

Patch: netiq.com

Timelineinfo

05.01.2004 🔍
20.01.2004 +15 Tage 🔍
20.01.2004 +0 Tage 🔍
21.01.2004 +1 Tage 🔍
21.01.2004 +0 Tage 🔍
21.01.2004 +0 Tage 🔍
21.01.2004 +0 Tage 🔍
31.12.2004 +344 Tage 🔍
08.11.2007 +1042 Tage 🔍
11.10.2025 +6547 Tage 🔍

Quelleninfo

Hersteller: microfocus.com

Advisory: securityfocus.com⛔
Person: Oliver Karow
Status: Bestätigt

CVE: CVE-2004-2748 (🔍)
GCVE (CVE): GCVE-0-2004-2748
GCVE (VulDB): GCVE-100-488
SecurityFocus: 9460 - WebTrends Reporting Center Management Interface Path Disclosure Vulnerability
Secunia: 10689 - WebTrends Exposure of Installation Path, Not Critical
OSVDB: 3680 - WebTrends viewreport.pl profileid Variable Path Disclosure
SecurityTracker: 1008799

scip Labs: https://www.scip.ch/?labs.20161013
Diverses: 🔍

Eintraginfo

Erstellt: 21.01.2004 11:27
Aktualisierung: 11.10.2025 06:08
Anpassungen: 21.01.2004 11:27 (78), 27.06.2019 16:42 (1), 11.10.2025 06:08 (22)
Komplett: 🔍
Cache ID: 216::103

VulDB is the best source for vulnerability data and more expert information about this specific topic.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you know our Splunk app?

Download it now for free!