CVSS Meta Temp Score	Aktueller Exploitpreis (≈)	CTI Interest Score
5.5	$0-$5k	0.00

Zusammenfassunginfo

In Oracle Java 7 Update 15 wurde eine Schwachstelle ausgemacht. Sie wurde als problematisch eingestuft. Es ist betroffen eine unbekannte Funktion der Komponente Browser Plugin. Die Veränderung im Kontext von Revoked Certificate resultiert in schwache Authentisierung. Ausserdem ist ein Exploit verfügbar. Ein Wurm ist im Umlauf, der diese Schwachstelle automatisch ausnutzt.

Detailsinfo

Es wurde eine Schwachstelle in Oracle Java 7 Update 15 (Programming Language Software) ausgemacht. Sie wurde als problematisch eingestuft. Es betrifft unbekannter Code der Komponente Browser Plugin. Durch Manipulation durch Revoked Certificate kann eine schwache Authentisierung-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-287 vorgenommen. Auswirken tut sich dies auf Vertraulichkeit, Integrität und Verfügbarkeit.

Am 19.02.2013 wurde der Fehler eingeführt. Die Schwachstelle wurde am 06.03.2013 als When a Signed Java JAR file is not Proof of Trust in Form eines nicht definierten Advisories (Website) publiziert. Das Advisory findet sich auf eromang.zataz.com. Die Herausgabe passierte ohne Zusammenarbeit mit Oracle. Sie ist schwierig auszunutzen. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Es sind zwar keine technische Details, jedoch ein öffentlicher Exploit zur Schwachstelle bekannt.

Ein öffentlicher Exploit wurde in Java entwickelt und sofort nach dem Advisory veröffentlicht. Unter urlquery.net wird der Exploit bereitgestellt. Er wird als attackiert gehandelt. Vor einer Veröffentlichung handelte es sich 15 Tage um eine Zero-Day Schwachstelle. Während dieser Zeit erzielte er wohl etwa $25k-$100k auf dem Schwarzmarkt. Aufgrund der automatisierten Ausnutzung der Schwachstelle gibt es mittlerweile einen Wurm, der sich diese zunutze macht.

Mit der Einstellung Disable Java kann das Problem adressiert werden.

Unter anderem wird der Fehler auch in der Verwundbarkeitsdatenbank von OSVDB (91004†) dokumentiert. Weitere Informationen werden unter docs.oracle.com bereitgestellt. Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

Produktinfo

Typ

• Programming Language Software

Hersteller

• Oracle

Name

• Java

Version

• 7 Update 15

Lizenz

• Open-Source

Webseite

• Hersteller: https://www.oracle.com

CPE 2.3info

• 🔍

CPE 2.2info

• 🔍

Screenshot

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 5.6
VulDB Meta Temp Score: 5.5

VulDB Base Score: 5.6
VulDB Temp Score: 5.5
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vektor	Komplexität	Authentisierung	Vertraulichkeit	Integrität	Verfügbarkeit
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Schwache Authentisierung
CWE: CWE-287
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Attackiert
Wormified: 🔍
Programmiersprache: 🔍
Download: 🔍
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Day	freischalten	freischalten	freischalten	freischalten
Heute	freischalten	freischalten	freischalten	freischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: keine Massnahme bekannt
Status: 🔍

0-Day Time: 🔍
Exploit Delay Time: 🔍

Config: Disable Java

Timelineinfo

19.02.2013 🔍
06.03.2013 +15 Tage 🔍
06.03.2013 +0 Tage 🔍
11.03.2013 +5 Tage 🔍
13.04.2019 +2224 Tage 🔍

Quelleninfo

Hersteller: oracle.com

Advisory: When a Signed Java JAR file is not Proof of Trust
Status: Nicht definiert

GCVE (VulDB): GCVE-100-7935
OSVDB: 91004

scip Labs: https://www.scip.ch/?labs.20161013
Diverses: 🔍

Eintraginfo

Erstellt: 11.03.2013 09:27
Aktualisierung: 13.04.2019 16:27
Anpassungen: 11.03.2013 09:27 (53), 13.04.2019 16:27 (2)
Komplett: 🔍
Cache ID: 216:20D:103

Diskussion

Do you want to use VulDB in your project?

Use the official API to access entries easily!