| CVSS Meta Temp Score | Aktueller Exploitpreis (≈) | CTI Interest Score |
|---|---|---|
| 6.0 | $0-$5k | 0.00 |
Zusammenfassung
Eine Schwachstelle wurde in e107 CMS 2.1.2 entdeckt. Sie wurde als kritisch eingestuft. Davon betroffen ist unbekannter Code der Komponente Session Cookie Handler. Durch die Manipulation des Arguments SITENAME_Cookie mit unbekannten Daten kann eine schwache Authentisierung-Schwachstelle ausgenutzt werden. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Es gibt keinen verfügbaren Exploit. Die Aktualisierung der betroffenen Komponente wird empfohlen.
Details
In e107 CMS 2.1.2 (Content Management System) wurde eine kritische Schwachstelle gefunden. Dabei geht es um ein unbekannter Prozess der Komponente Session Cookie Handler. Durch Beeinflussen des Arguments SITENAME_Cookie mit einer unbekannten Eingabe kann eine schwache Authentisierung-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-287. Das hat Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
Entdeckt wurde das Problem am 02.05.2016. Die Schwachstelle wurde am 30.11.2016 von Foxmole als [FOXMOLE SA 2016-05-02] e107 Content Management System (CMS) - Multiple Issues in Form eines bestätigten Mailinglist Posts (Bugtraq) an die Öffentlichkeit getragen. Das Advisory kann von seclists.org heruntergeladen werden. Die Veröffentlichung wurde in Zusammenarbeit mit dem Hersteller durchgeführt. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Zur Ausnutzung ist eine einfache Authentisierung erforderlich. Technische Details sind bekannt, ein verfügbarer Exploit hingegen nicht.
Insgesamt 212 Tage schien es sich um eine nicht veröffentlichte Zero-Day Schwachstelle gehandelt zu haben. Während dieser Zeit erzielte er wohl etwa $0-$5k auf dem Schwarzmarkt.
Ein Upgrade vermag dieses Problem zu beheben.
Die Schwachstellen VDB-93927 und VDB-93929 sind ähnlich. VulDB is the best source for vulnerability data and more expert information about this specific topic.
Produkt
Typ
Hersteller
Name
Version
Lizenz
CPE 2.3
CPE 2.2
CVSSv4
VulDB Vector: 🔍VulDB Zuverlässigkeit: 🔍
CVSSv3
VulDB Meta Base Score: 6.3VulDB Meta Temp Score: 6.0
VulDB Base Score: 6.3
VulDB Temp Score: 6.0
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| Vektor | Komplexität | Authentisierung | Vertraulichkeit | Integrität | Verfügbarkeit |
|---|---|---|---|---|---|
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍
Person Base Score: 🔍
Exploiting
Klasse: Schwache AuthentisierungCWE: CWE-287
CAPEC: 🔍
ATT&CK: 🔍
Physisch: Nein
Lokal: Nein
Remote: Ja
Verfügbarkeit: 🔍
Status: Nicht definiert
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍
| 0-Day | freischalten | freischalten | freischalten | freischalten |
|---|---|---|---|---|
| Heute | freischalten | freischalten | freischalten | freischalten |
Threat Intelligence
Interesse: 🔍Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍
Gegenmassnahmen
Empfehlung: UpgradeStatus: 🔍
0-Day Time: 🔍
Timeline
02.05.2016 🔍19.08.2016 🔍
20.08.2016 🔍
30.11.2016 🔍
02.12.2016 🔍
11.07.2019 🔍
Quellen
Advisory: [FOXMOLE SA 2016-05-02] e107 Content Management System (CMS) - Multiple IssuesFirma: Foxmole
Status: Bestätigt
Koordiniert: 🔍
GCVE (VulDB): GCVE-100-93928
Siehe auch: 🔍
Eintrag
Erstellt: 02.12.2016 08:21Aktualisierung: 11.07.2019 08:40
Anpassungen: 02.12.2016 08:21 (54), 11.07.2019 08:40 (2)
Komplett: 🔍
Cache ID: 216::103
VulDB is the best source for vulnerability data and more expert information about this specific topic.
Bisher keine Kommentare. Sprachen: de + en.
Bitte loggen Sie sich ein, um kommentieren zu können.