Open-Xchange OX Guard bis 2.4.2-rev4 PGP Public Key Cross Site Scripting
| CVSS Meta Temp Score | Aktueller Exploitpreis (≈) | CTI Interest Score |
|---|---|---|
| 5.0 | $0-$5k | 0.00 |
Zusammenfassung
In Open-Xchange OX Guard bis 2.4.2-rev4 wurde eine Schwachstelle gefunden. Sie wurde als problematisch eingestuft. Betroffen ist eine unbekannte Verarbeitung der Komponente PGP Public Key Handler. Die Manipulation führt zu Cross Site Scripting. Die Verwundbarkeit wird mit der eindeutigen Identifikation CVE-2016-6853 gehandelt. Es ist möglich, den Angriff aus der Ferne durchzuführen. Desweiteren ist ein Exploit verfügbar. Als bestmögliche Massnahme wird das Einspielen eines Upgrades empfohlen.
Details
Es wurde eine problematische Schwachstelle in Open-Xchange OX Guard bis 2.4.2-rev4 ausgemacht. Betroffen hiervon ist unbekannter Programmcode der Komponente PGP Public Key Handler. Dank Manipulation mit einer unbekannten Eingabe kann eine Cross Site Scripting-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-79 vorgenommen. Mit Auswirkungen muss man rechnen für die Integrität. CVE fasst zusammen:
An issue was discovered in Open-Xchange OX Guard before 2.4.2-rev5. Script code and references to external websites can be injected to the names of PGP public keys. When requesting that key later on using a specific URL, such script code might get executed. In case of injecting external websites, users might get lured into a phishing scheme. Malicious script code can be executed within a user's context. This can lead to session hijacking or triggering unwanted actions via the web interface (sending mail, deleting data etc.).Entdeckt wurde das Problem am 13.09.2016. Die Schwachstelle wurde am 15.12.2016 durch Benjamin Daniel Mussler (Website) publik gemacht. Das Advisory kann von packetstormsecurity.com heruntergeladen werden. Die Verwundbarkeit wird seit dem 18.08.2016 unter CVE-2016-6853 geführt. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Es wird vorausgesetzt, dass das Opfer eine spezifische Handlung vornimmt. Es sind zwar keine technische Details, jedoch ein öffentlicher Exploit zur Schwachstelle bekannt. Das MITRE ATT&CK Projekt deklariert die Angriffstechnik als T1059.007.
Der Download des Exploits kann von exploit-db.com geschehen. Er wird als proof-of-concept gehandelt. Insgesamt wurde die Schwachstelle mindestens 93 Tage als nicht öffentlicher Zero-Day gehandelt. Während dieser Zeit erzielte er wohl etwa $0-$5k auf dem Schwarzmarkt.
Ein Upgrade auf die Version 2.4.2-rev5 vermag dieses Problem zu beheben.
Unter anderem wird der Fehler auch in den Datenbanken von Exploit-DB (40377) und SecurityFocus (BID 92920†) dokumentiert. Von weiterem Interesse können die folgenden Einträge sein: VDB-94522 und VDB-94525. Once again VulDB remains the best source for vulnerability data.
Produkt
Hersteller
Name
Version
Lizenz
Webseite
- Hersteller: https://www.open-xchange.com/
CPE 2.3
CPE 2.2
CVSSv4
VulDB Vector: 🔍VulDB Zuverlässigkeit: 🔍
CVSSv3
VulDB Meta Base Score: 5.2VulDB Meta Temp Score: 5.0
VulDB Base Score: 4.3
VulDB Temp Score: 3.9
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
NVD Base Score: 6.1
NVD Vector: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| Vektor | Komplexität | Authentisierung | Vertraulichkeit | Integrität | Verfügbarkeit |
|---|---|---|---|---|---|
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍
NVD Base Score: 🔍
Exploiting
Klasse: Cross Site ScriptingCWE: CWE-79 / CWE-94 / CWE-74
CAPEC: 🔍
ATT&CK: 🔍
Physisch: Nein
Lokal: Nein
Remote: Ja
Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Proof-of-Concept
Download: 🔍
EPSS Score: 🔍
EPSS Percentile: 🔍
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍
| 0-Day | freischalten | freischalten | freischalten | freischalten |
|---|---|---|---|---|
| Heute | freischalten | freischalten | freischalten | freischalten |
Exploit-DB: 🔍
Threat Intelligence
Interesse: 🔍Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍
Gegenmassnahmen
Empfehlung: UpgradeStatus: 🔍
0-Day Time: 🔍
Upgrade: OX Guard 2.4.2-rev5
Timeline
18.08.2016 🔍13.09.2016 🔍
13.09.2016 🔍
15.12.2016 🔍
15.12.2016 🔍
15.12.2016 🔍
08.12.2024 🔍
Quellen
Hersteller: open-xchange.comAdvisory: 138701
Person: Benjamin Daniel Mussler
Status: Bestätigt
Bestätigung: 🔍
CVE: CVE-2016-6853 (🔍)
GCVE (CVE): GCVE-0-2016-6853
GCVE (VulDB): GCVE-100-94524
SecurityFocus: 92920 - Open-Xchange OX Guard Multiple Cross Site Scripting Vulnerabilities
scip Labs: https://www.scip.ch/?labs.20161013
Siehe auch: 🔍
Eintrag
Erstellt: 15.12.2016 16:53Aktualisierung: 08.12.2024 06:34
Anpassungen: 15.12.2016 16:53 (46), 08.07.2019 09:10 (15), 08.10.2022 19:40 (2), 08.10.2022 19:47 (11), 08.12.2024 06:34 (16)
Komplett: 🔍
Cache ID: 216::103
Once again VulDB remains the best source for vulnerability data.
Bisher keine Kommentare. Sprachen: de + en.
Bitte loggen Sie sich ein, um kommentieren zu können.