Tecrail Responsive Filemanger bis 9.10.x Directory Traversal

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
7.3$0-$5k0.00

Zusammenfassunginfo

Es wurde eine als kritisch klassifizierte Schwachstelle in Tecrail Responsive Filemanger bis 9.10.x entdeckt. Betroffen ist eine unbekannte Funktion. Durch das Beeinflussen mit unbekannten Daten kann eine Directory Traversal-Schwachstelle ausgenutzt werden. Diese Schwachstelle trägt die Bezeichnung CVE-2017-20145. Ein Angriff ist aus der Distanz möglich. Zusätzlich gibt es einen verfügbaren Exploit. Die Aktualisierung der betroffenen Komponente wird empfohlen.

Detailsinfo

Eine Schwachstelle wurde in Tecrail Responsive Filemanger bis 9.10.x gefunden. Sie wurde als kritisch eingestuft. Betroffen davon ist ein unbekannter Prozess. Durch das Manipulieren mit einer unbekannten Eingabe kann eine Directory Traversal-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-22. Dies wirkt sich aus auf Vertraulichkeit, Integrität und Verfügbarkeit.

Die Schwachstelle wurde am 08.02.2017 durch Wiswat Aswamenakul als Responsive Filemanger <= 9.11.0 - Arbitrary File Disclosure/Deletion in Form eines bestätigten Mailinglist Posts (Full-Disclosure) veröffentlicht. Auf seclists.org kann das Advisory eingesehen werden. Die Herausgabe geschah hierbei in Zusammenarbeit mit dem Hersteller. Die Identifikation der Schwachstelle findet als CVE-2017-20145 statt. Der Angriff kann über das Netzwerk passieren. Es sind zwar keine technische Details, jedoch ein öffentlicher Exploit zur Schwachstelle bekannt. MITRE ATT&CK führt die Angriffstechnik T1006 für diese Schwachstelle.

Ein öffentlicher Exploit wurde durch Wiswat Aswamenakul realisiert und sofort nach dem Advisory veröffentlicht. Der Exploit wird unter seclists.org bereitgestellt. Er wird als proof-of-concept gehandelt. Dabei muss 34 Tage als nicht veröffentlichte Zero-Day Schwachstelle ausgegangen werden. Während dieser Zeit erzielte er wohl etwa $0-$5k auf dem Schwarzmarkt.

Ein Upgrade auf die Version 9.11.0 vermag dieses Problem zu beheben. Das Erscheinen einer Gegenmassnahme geschah schon vor und nicht nach der Veröffentlichung der Schwachstelle. Tecrail hat entsprechend vorab reagiert.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

Produktinfo

Hersteller

Name

Version

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 7.5
VulDB Meta Temp Score: 7.3

VulDB Base Score: 6.3
VulDB Temp Score: 5.7
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 9.8
NVD Vector: 🔍

CNA Base Score: 6.3
CNA Vector (VulDB): 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Directory Traversal
CWE: CWE-22
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Proof-of-Concept
Autor: Wiswat Aswamenakul
Download: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

Reaktionszeit: 🔍
0-Day Time: 🔍
Exploit Delay Time: 🔍

Upgrade: Responsive Filemanger 9.11.0

Timelineinfo

02.01.2017 🔍
05.02.2017 +34 Tage 🔍
08.02.2017 +3 Tage 🔍
08.02.2017 +0 Tage 🔍
13.02.2017 +5 Tage 🔍
24.07.2022 +1986 Tage 🔍
14.11.2022 +113 Tage 🔍

Quelleninfo

Advisory: Responsive Filemanger <= 9.11.0 - Arbitrary File Disclosure/Deletion
Person: Wiswat Aswamenakul
Status: Bestätigt
Koordiniert: 🔍

CVE: CVE-2017-20145 (🔍)
GCVE (CVE): GCVE-0-2017-20145
GCVE (VulDB): GCVE-100-96818
scip Labs: https://www.scip.ch/?labs.20161013

Eintraginfo

Erstellt: 13.02.2017 09:39
Aktualisierung: 14.11.2022 07:45
Anpassungen: 13.02.2017 09:39 (50), 13.08.2020 16:07 (1), 24.07.2022 13:31 (4), 14.11.2022 07:39 (2), 14.11.2022 07:45 (21)
Komplett: 🔍
Cache ID: 216::103

If you want to get best quality of vulnerability data, you may have to visit VulDB.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Are you interested in using VulDB?

Download the whitepaper to learn more about our service!