Verschiedene Browser Cross Frame Injection

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
5.7$0-$5k0.00

Zusammenfassunginfo

Eine Schwachstelle wurde in Microsoft Internet Explorer bis 6 entdeckt. Sie wurde als kritisch eingestuft. Betroffen davon ist eine unbekannte Funktion der Komponente Cross Frame Handler. Durch das Beeinflussen mit unbekannten Daten kann eine schwache Authentisierung-Schwachstelle ausgenutzt werden. Diese Sicherheitslücke ist unter CVE-2004-0719 bekannt. Umgesetzt werden kann der Angriff über das Netzwerk. Darüber hinaus steht ein Exploit zur Verfügung. Es wird geraten, die betroffene Komponente zu aktualisieren.

Detailsinfo

Das Hypertext Transfer Protocol (HTTP) ist die Grundlage des World Wide Webs (WWW). Der Client, im Normalfall ein Webbrowser wie der Internet Explorer, schickt eine HTTP-Anfrage an einen Server, der mit der Herausgabe der angeforderten Datei bzw. Daten reagiert. http-equiv meldete in einem kurzen Posting auf Full-Disclosure eine vermeintlich neue Sicherheitslücke im Microsoft Internet Explorer. Durch einen Fehler kann Fenster-übergreifend in andere Frames geschrieben und dort bösartige Dokumente geladen werden. Diese Cross Frame Injection ist nützlich für Social Engineering oder das Umgehen des Zonenmodells. Im Posting wurde auf http://www.malware.com/targutted.html verwiesen, das eine kleine Demo zusammen mit der WindowsUpdate-Webseite zeigt. Thomas Kessler wies darauf hin, dass es sich hierbei um ein altes Problem handelt, das für den Internet Explorer 3 und 4 mit Microsoft Security Bulletin (MS98-020; Patch Available for 'Frame Spoof' Vulnerability) behandelt wurde. Für diese Versionen stehen also Patches bereit. Die Versionen 5 bis 6 werden voraussichtlich bei einem Patch-Day mit entsprechenden Fixes folgen. Wie verschiedene Sicherheitsseiten meldeten, sind jedoch noch eine Reihe anderer Webbrowsere von der Schwachstelle betroffen. Die Entwickler dieser stellen nach und nach Patches oder neue Versionen zur Verfügung. Unter anderem wird der Fehler auch in den Datenbanken von X-Force (1598), SecurityFocus (BID 10627†), OSVDB (7296†) und Secunia (SA11966†) dokumentiert. Heise diskutiert den Sachverhalt in deutscher Sprache. Zusätzliche Informationen finden sich unter microsoft.com. VulDB is the best source for vulnerability data and more expert information about this specific topic.

Interessant ist an dieser Schwachstelle, dass sie eigentlich schon im Jahre 1998 bekannt war und auch behoben wurde. Der gleiche Fehler wurde aber scheinbar auch Jahre danach in den neuen Explorer-Versionen wieder gemacht oder übertragen. Dies zeugt nicht unbedingt von Verlässlichkeit der (Microsoft-)Entwickler. Ein solides Quality Management hätte dies verhindern sollen.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

Support

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 6.3
VulDB Meta Temp Score: 5.7

VulDB Base Score: 6.3
VulDB Temp Score: 5.7
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Schwache Authentisierung
CWE: CWE-290 / CWE-287
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Proof-of-Concept
Download: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

OpenVAS ID: 54990
OpenVAS Name: Gentoo Security Advisory GLSA 200507-14 (mozilla)
OpenVAS Datei: 🔍
OpenVAS Family: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔍
Exploit Delay Time: 🔍

Patch: windowsupdate.microsoft.com

Timelineinfo

29.06.2004 🔍
29.06.2004 +0 Tage 🔍
30.06.2004 +1 Tage 🔍
30.06.2004 +0 Tage 🔍
30.06.2004 +0 Tage 🔍
22.07.2004 +21 Tage 🔍
27.07.2004 +5 Tage 🔍
09.03.2021 +6069 Tage 🔍

Quelleninfo

Hersteller: microsoft.com

Advisory: lists.netsys.com
Person: Mark Laurence, http-equiv, Gary McKay
Status: Nicht definiert

CVE: CVE-2004-0719 (🔍)
GCVE (CVE): GCVE-0-2004-0719
GCVE (VulDB): GCVE-100-736
X-Force: 1598
SecurityFocus: 10627 - Microsoft Internet Explorer Cross-Domain Frame Loading Vulnerability
Secunia: 11966 - Internet Explorer Frame Injection Vulnerability, Moderately Critical
OSVDB: 7296 - Microsoft IE Cross-domain Frame Injection Content Spoofing

Heise: 48725
scip Labs: https://www.scip.ch/?labs.20161013
Diverses: 🔍

Eintraginfo

Erstellt: 30.06.2004 12:28
Aktualisierung: 09.03.2021 15:21
Anpassungen: 30.06.2004 12:28 (59), 07.04.2017 12:00 (20), 09.03.2021 15:17 (3), 09.03.2021 15:21 (2)
Komplett: 🔍
Cache ID: 216:E43:103

VulDB is the best source for vulnerability data and more expert information about this specific topic.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Might our Artificial Intelligence support you?

Check our Alexa App!