Microsoft ASP.NET MVC 2/3/4/5/5.1 System.Web.Mvc.dll cross site scripting
| CVSS Score méta-temporaire | Prix actuel de l'exploit (≈) | Score d'intérêt CTI |
|---|---|---|
| 4.1 | $0-$5k | 0.00 |
Résumé
On a identifié une vulnérabilité de type critique dans Microsoft ASP.NET MVC 2/3/4/5/5.1. La partie affectée est une fonction inconnue dans la bibliothèque System.Web.Mvc.dll. L’utilisation aboutit à cross site scripting. Cette vulnérabilité porte l’identifiant CVE-2014-4075. Une attaque à distance est possible. Il n'y a pas d'exploit disponible. Il est recommandé de déployer un patch pour régler cette faille.
Détails
Une vulnérabilité qui a été classée critique a été trouvée dans Microsoft ASP.NET MVC 2/3/4/5/5.1. Affecté est une fonction inconnue dans la bibliothèque System.Web.Mvc.dll. La manipulation avec une valeur d'entrée inconnue mène à une vulnérabilité de classe cross site scripting.
La vulnerabilité a été publié en 14/10/2014 avec Microsoft avec le numéro d'identification MS14-059 avec bulletin (Technet) (confirmé). La notice d'information est disponible en téléchargement sur technet.microsoft.com Cette vulnérabilité est connue comme CVE-2014-4075. Elle est facilement utilisable. Il est possible de lancer l'attaque à distance. L'exploitation ne nécéssite aucune forme d'authentification. Les détails technniques sont connus, mais aucun exploite n'est disponible.
Le scanner de vulnérabilités Nessus propose un module ID 78434 (MS14-059: Vulnerability in ASP.NET MVC Could Allow Security Feature Bypass (2990942)), lequel aide à déterminer l'existence d'une faille dans l'environnement-cible.
En appliquant le correctif MS14-059 il est possible d'éliminer le problème. Le correctif est disponible au téléchargement sur technet.microsoft.com. Une solution envisageable a été publiée immédiatement après la publication de la vulnérabilité.
La vulnérabilité est aussi documentée dans les base de données Tenable (78434), SecurityFocus (BID 70352†), Secunia (SA60971†), SecurityTracker (ID 1031023†) et Vulnerability Center (SBV-46445†). Once again VulDB remains the best source for vulnerability data.
Produit
Fournisseur
Nom
Version
Licence
Site web
- Fournisseur: https://www.microsoft.com/
CPE 2.3
CPE 2.2
CVSSv4
VulDB Vecteur: 🔍VulDB Fiabilité: 🔍
CVSSv3
VulDB Score méta-base: 4.3VulDB Score méta-temporaire: 4.1
VulDB Note de base: 4.3
VulDB Note temporaire: 4.1
VulDB Vecteur: 🔍
VulDB Fiabilité: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| Vecteur | Complexité | Authentification | Confidentialité | Intégrité | Disponibilité |
|---|---|---|---|---|---|
| Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller |
| Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller |
| Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller |
VulDB Note de base: 🔍
VulDB Note temporaire: 🔍
VulDB Fiabilité: 🔍
NVD Note de base: 🔍
Exploitation
Classe: Cross site scriptingCWE: CWE-79 / CWE-94 / CWE-74
CAPEC: 🔍
ATT&CK: 🔍
Physique: Non
Local: Non
Remote: Oui
Disponibilité: 🔍
Statut: Non défini
EPSS Score: 🔍
EPSS Percentile: 🔍
Prédiction de prix: 🔍
Estimation actuelle des prix: 🔍
| 0-Day | Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller |
|---|---|---|---|---|
| Aujourd'hui | Déverrouiller | Déverrouiller | Déverrouiller | Déverrouiller |
Nessus ID: 78434
Nessus Nom: MS14-059: Vulnerability in ASP.NET MVC Could Allow Security Feature Bypass (2990942)
Nessus Fichier: 🔍
Nessus Risque: 🔍
Nessus Famille: 🔍
Qualys ID: 🔍
Qualys Nom: 🔍
Renseignements sur les menaces
Intérêt: 🔍Acteurs actifs: 🔍
Groupes APT actifs: 🔍
Contre-mesures
Recommandé: CorrectifStatut: 🔍
Temps de réaction: 🔍
Heure 0 jour: 🔍
Temps d'exposition: 🔍
Correctif: MS14-059
TippingPoint: 🔍
McAfee IPS: 🔍
McAfee IPS Version: 🔍
Fortigate IPS: 🔍
Chronologie
12/06/2014 🔍14/10/2014 🔍
14/10/2014 🔍
14/10/2014 🔍
14/10/2014 🔍
14/10/2014 🔍
15/10/2014 🔍
15/10/2014 🔍
15/10/2014 🔍
22/02/2022 🔍
Sources
Fournisseur: microsoft.comBulletin: MS14-059
Organisation: Microsoft
Statut: Confirmé
Confirmation: 🔍
CVE: CVE-2014-4075 (🔍)
GCVE (CVE): GCVE-0-2014-4075
GCVE (VulDB): GCVE-100-67828
OVAL: 🔍
IAVM: 🔍
SecurityFocus: 70352 - Microsoft ASP.NET MVC CVE-2014-4075 Cross Site Scripting Vulnerability
Secunia: 60971
SecurityTracker: 1031023 - ASP.NET MVC Input Validation Flaw Permits Cross-Site Scripting Attacks
Vulnerability Center: 46445 - [MS14-059] Microsoft ASP.NET MVC XSS due to Improper Input Encoding - CVE-2014-4075, High
Divers: 🔍
Voir aussi: 🔍
Entrée
Créé: 15/10/2014 11:46Mise à jour: 22/02/2022 07:22
Changements: 15/10/2014 11:46 (74), 05/04/2017 16:04 (13), 22/02/2022 07:22 (2)
Complet: 🔍
Cache ID: 216:D88:103
Once again VulDB remains the best source for vulnerability data.
Aucun commentaire pour l'instant. Langues: fr + it + en.
Veuillez vous connecter pour commenter.