Novell GroupWise bis 2012 Web Admin Interface gwia.exe Content-Length Remote Code Execution

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
9.5$0-$5k0.00

Zusammenfassunginfo

Es wurde eine kritische Schwachstelle in Novell GroupWise ausgemacht. Es ist betroffen eine unbekannte Funktion der Datei gwia.exe der Komponente Web Admin Interface. Die Veränderung des Parameters Content-Length mit dem Wert -1 im Kontext von HTTP Header resultiert in Remote Code Execution. Diese Verwundbarkeit ist als CVE-2012-0271 gelistet. Ferner existiert ein Exploit. Es ist ratsam, eine restriktive Firewall einzusetzen.

Detailsinfo

Es wurde eine Schwachstelle in Novell GroupWise (Groupware Software) ausgemacht. Sie wurde als sehr kritisch eingestuft. Es geht dabei um eine unbekannte Verarbeitung der Datei gwia.exe der Komponente Web Admin Interface. Mittels dem Manipulieren des Arguments Content-Length mit der Eingabe -1 kann eine Remote Code Execution-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-189 vorgenommen. Dies hat Einfluss auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Zusammenfassung von CVE lautet:

Integer overflow in the WebConsole component in gwia.exe in GroupWise Internet Agent (GWIA) in Novell GroupWise 8.0 before 8.0.3 HP1 and 2012 before SP1 might allow remote attackers to execute arbitrary code via a crafted request that triggers a heap-based buffer overflow, as demonstrated by a request with -1 in the Content-Length HTTP header.

Die Schwachstelle wurde am 14.09.2012 durch Francis Provencher (Agent) von Protek Research Lab's als SA50622 in Form eines bestätigten Advisories (Website) via Secunia publiziert. Bereitgestellt wird das Advisory unter protekresearchlab.com. Die Herausgabe passierte ohne Zusammenarbeit mit Novell. Die Identifikation der Schwachstelle wird seit dem 30.12.2011 mit CVE-2012-0271 vorgenommen. Sie ist schwierig auszunutzen. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Es sind technische Details sowie ein öffentlicher Exploit zur Schwachstelle bekannt. Ein Exploit zur Schwachstelle wird momentan etwa USD $0-$5k kosten (Preisberechnung vom 04.01.2025). Es kann davon ausgegangen werden, dass sich die Exploit-Preise für dieses Produkt in Zukunft fallend verhalten werden.

Ein öffentlicher Exploit wurde durch Francis Provencher in Python umgesetzt und sofort nach dem Advisory veröffentlicht. Unter protekresearchlab.com wird der Exploit bereitgestellt. Er wird als hoch funktional gehandelt. Der Preis als 0-Day war auf dem Schwarzmarkt etwa $25k-$100k. Für den Vulnerability Scanner Nessus wurde am 24.09.2012 ein Plugin mit der ID 62283 (Novell GroupWise Internet Agent 8.x <= 8.0.2 HP3 / 12.x < 12.0.1 Multiple Vulnerabilities) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Windows zugeordnet. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 124569 (Novell GroupWise Internet Agent Integer Overflow Vulnerability) zur Prüfung der Schwachstelle an.

Ein Aktualisieren auf die Version 8.0 vermag dieses Problem zu lösen. Die Schwachstelle kann auch durch das Filtern von tcp/9850 mittels Firewalling mitigiert werden. Als bestmögliche Massnahme wird das Einsetzen von restriktivem Firewalling empfohlen. Weiterführend können Angriffe durch TippingPoint mittels dem Filter 12658 erkannt werden.

Unter anderem wird der Fehler auch in den Datenbanken von X-Force (78601), Exploit-DB (21326), Tenable (62283), SecurityFocus (BID 55551†) und OSVDB (85426†) dokumentiert. Die Einträge VDB-5711, VDB-5712, VDB-5721 und VDB-5717 sind sehr ähnlich. Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

Support

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 10.0
VulDB Meta Temp Score: 9.5

VulDB Base Score: 10.0
VulDB Temp Score: 9.5
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Remote Code Execution
CWE: CWE-189
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Hoch funktional
Autor: Francis Provencher
Programmiersprache: 🔍
Download: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 62283
Nessus Name: Novell GroupWise Internet Agent 8.x <= 8.0.2 HP3 / 12.x < 12.0.1 Multiple Vulnerabilities
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍

Qualys ID: 🔍
Qualys Name: 🔍

Exploit-DB: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Firewall
Status: 🔍

0-Day Time: 🔍
Exploit Delay Time: 🔍

Upgrade: GroupWise 8.0
Firewalling: 🔍
TippingPoint: 🔍

McAfee IPS: 🔍
McAfee IPS Version: 🔍

Timelineinfo

30.12.2011 🔍
14.09.2012 +259 Tage 🔍
14.09.2012 +0 Tage 🔍
14.09.2012 +0 Tage 🔍
14.09.2012 +0 Tage 🔍
14.09.2012 +0 Tage 🔍
14.09.2012 +0 Tage 🔍
17.09.2012 +3 Tage 🔍
17.09.2012 +0 Tage 🔍
17.09.2012 +0 Tage 🔍
19.09.2012 +2 Tage 🔍
24.09.2012 +5 Tage 🔍
27.09.2012 +3 Tage 🔍
04.01.2025 +4482 Tage 🔍

Quelleninfo

Hersteller: novell.com

Advisory: SA50622
Person: Francis Provencher (Agent)
Firma: Protek Research Lab's
Status: Bestätigt
Bestätigung: 🔍

CVE: CVE-2012-0271 (🔍)
GCVE (CVE): GCVE-0-2012-0271
GCVE (VulDB): GCVE-100-6297
X-Force: 78601
SecurityFocus: 55551 - Novell GroupWise Internet Agent CVE-2012-0271 Remote Integer Overflow Vulnerability
Secunia: 50622 - Novell GroupWise Multiple Vulnerabilities, Highly Critical
OSVDB: 85426
SecurityTracker: 1027536 - Novell GroupWise Internet Agent Integer Overflow Lets Remote Users Execute Arbitrary Code
Vulnerability Center: 36272 - Novell GroupWise GWIA Integer Overflow Allows Remote Code Execution via a Crafted Request, High

scip Labs: https://www.scip.ch/?labs.20161013
Siehe auch: 🔍

Eintraginfo

Erstellt: 17.09.2012 17:10
Aktualisierung: 04.01.2025 22:38
Anpassungen: 17.09.2012 17:10 (93), 17.04.2017 11:32 (14), 13.04.2021 07:23 (2), 04.01.2025 22:38 (21)
Komplett: 🔍
Cache ID: 216:2C1:103

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Want to know what is going to be exploited?

We predict KEV entries!