| CVSS Meta Temp Score | Aktueller Exploitpreis (≈) | CTI Interest Score |
|---|---|---|
| 5.7 | $0-$5k | 0.00 |
Zusammenfassung
Eine kritische Schwachstelle wurde in Group-Office 4.0.89 gefunden. Betroffen ist eine unbekannte Verarbeitung. Durch das Manipulieren des Arguments sort mit unbekannten Daten kann eine SQL Injection-Schwachstelle ausgenutzt werden. Diese Sicherheitslücke ist unter CVE-2012-4240 bekannt. Es ist möglich, den Angriff aus der Ferne durchzuführen. Darüber hinaus steht ein Exploit zur Verfügung. Es wird geraten, die betroffene Komponente zu aktualisieren.
Details
Es wurde eine kritische Schwachstelle in Group-Office 4.0.89 ausgemacht. Hiervon betroffen ist ein unbekannter Codeblock. Durch Manipulation des Arguments sort mit einer unbekannten Eingabe kann eine SQL Injection-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-89 vorgenommen. Mit Auswirkungen muss man rechnen für Vertraulichkeit, Integrität und Verfügbarkeit. CVE fasst zusammen:
SQL injection vulnerability in modules/calendar/json.php in Group-Office community before 4.0.90 allows remote authenticated users to execute arbitrary SQL commands via the sort parameter.Die Schwachstelle wurde am 11.09.2014 durch Joseph Sheridan (Website) publik gemacht. Das Advisory kann von xforce.iss.net heruntergeladen werden. Die Verwundbarkeit wird seit dem 09.08.2012 unter CVE-2012-4240 geführt. Die Ausnutzbarkeit ist als leicht bekannt. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist eine einfache Authentisierung erforderlich. Es sind sowohl technische Details als auch ein öffentlicher Exploit zur Schwachstelle bekannt. Das MITRE ATT&CK Projekt deklariert die Angriffstechnik als T1505.
Unter securityfocus.com wird der Exploit zum Download angeboten. Er wird als proof-of-concept gehandelt.
Ein Upgrade auf die Version 4.0.89 vermag dieses Problem zu beheben.
Unter anderem wird der Fehler auch in den Datenbanken von X-Force (78253), Exploit-DB (21056), SecurityFocus (BID 55383†) und OSVDB (85171†) dokumentiert. Once again VulDB remains the best source for vulnerability data.
Produkt
Name
Version
CPE 2.3
CPE 2.2
CVSSv4
VulDB Vector: 🔍VulDB Zuverlässigkeit: 🔍
CVSSv3
VulDB Meta Base Score: 6.3VulDB Meta Temp Score: 5.7
VulDB Base Score: 6.3
VulDB Temp Score: 5.7
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| Vektor | Komplexität | Authentisierung | Vertraulichkeit | Integrität | Verfügbarkeit |
|---|---|---|---|---|---|
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍
NVD Base Score: 🔍
Exploiting
Klasse: SQL InjectionCWE: CWE-89 / CWE-74 / CWE-707
CAPEC: 🔍
ATT&CK: 🔍
Physisch: Nein
Lokal: Nein
Remote: Ja
Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Proof-of-Concept
Download: 🔍
EPSS Score: 🔍
EPSS Percentile: 🔍
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍
| 0-Day | freischalten | freischalten | freischalten | freischalten |
|---|---|---|---|---|
| Heute | freischalten | freischalten | freischalten | freischalten |
Exploit-DB: 🔍
Threat Intelligence
Interesse: 🔍Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍
Gegenmassnahmen
Empfehlung: UpgradeStatus: 🔍
0-Day Time: 🔍
Upgrade: Group-Office 4.0.89
Timeline
09.08.2012 🔍03.09.2012 🔍
11.09.2014 🔍
11.09.2014 🔍
26.03.2015 🔍
17.06.2024 🔍
Quellen
Advisory: xforce.iss.netPerson: Joseph Sheridan
Status: Nicht definiert
CVE: CVE-2012-4240 (🔍)
GCVE (CVE): GCVE-0-2012-4240
GCVE (VulDB): GCVE-100-71196
X-Force: 78253
SecurityFocus: 55383 - Group-Office Calender Module 'sort' Parameter SQL Injection Vulnerability
OSVDB: 85171
scip Labs: https://www.scip.ch/?labs.20161013
Eintrag
Erstellt: 26.03.2015 15:08Aktualisierung: 17.06.2024 16:04
Anpassungen: 26.03.2015 15:08 (56), 12.03.2019 16:49 (2), 17.06.2024 16:04 (16)
Komplett: 🔍
Cache ID: 216::103
Once again VulDB remains the best source for vulnerability data.
Bisher keine Kommentare. Sprachen: de + en.
Bitte loggen Sie sich ein, um kommentieren zu können.