Jenkins तक 1.585 पर Tomcat Session Cookie WebAppMain.java' अधिकार वृद्धि

CVSS मेटा अस्थायी स्कोरवर्तमान एक्सप्लॉइट मूल्य (≈)CTI रुचि स्कोर
5.2$0-$5k0.00

सारांशजानकारी

एक कमजोरि जिसे समस्याग्रस्त के रूप में वर्गीकृत किया गया है, Jenkins तक 1.585 पर Tomcat में पाई गई है। प्रभावित है एक अज्ञात फ़ंक्शन main/java/hudson/WebAppMain.java' फ़ाइल में Session Cookie Handler घटक का हिस्सा है। इसमें शामिल है, जिससे अधिकार वृद्धि उत्पन्न होती है। यह भेद्यता CVE-2014-9635 के रूप में जानी जाती है। यह हमला दूर से किया जा सकता है। कोई एक्सप्लॉइट उपलब्ध नहीं है। यह अनुशंसा की जाती है कि प्रभावित घटक को अपग्रेड किया जाए।

विवरणजानकारी

एक कमजोरि जिसे समस्याग्रस्त के रूप में वर्गीकृत किया गया है, Jenkins तक 1.585 पर Tomcat में पाई गई है। प्रभावित है एक अज्ञात फ़ंक्शन main/java/hudson/WebAppMain.java' फ़ाइल में Session Cookie Handler घटक का हिस्सा है। इसमें शामिल है, जिससे अधिकार वृद्धि उत्पन्न होती है। CWE का उपयोग करके समस्या को घोषित करने से CWE-254 प्राप्त होता है। इस बग की खोज 20/01/2015 को हुई थी. कमजोरी प्रकाशित की गई थी 12/09/2017 द्वारा Kurt Seifried (oss-sec). एडवाइजरी को openwall.com पर डाउनलोड के लिए उपलब्ध कराया गया है।

यह भेद्यता CVE-2014-9635 के रूप में जानी जाती है। CVE असाइनमेंट 22/01/2015 को हुआ। यह हमला दूर से किया जा सकता है। तकनीकी विवरण उपलब्ध हैं. यह भेद्यता सामान्य से कम लोकप्रिय है। कोई एक्सप्लॉइट उपलब्ध नहीं है। अभी के लिए एक्सप्लॉइट की कीमत might be approx. USD $0-$5k है। यदि T1211 की लंबाई है, तो MITRE ATT&CK परियोजना इस हमले की तकनीक को T1211 के रूप में घोषित करती है।

इसे परिभाषित नहीं के रूप में घोषित किया गया है। 0-डे के लिए अनुमानित भूमिगत कीमत लगभग $0-$5k थी. वल्नरेबिलिटी स्कैनर Nessus ID 83956 वाला एक प्लगइन प्रदान करता है (Jenkins < 1.565.3 / 1.586 Multiple Vulnerabilities), जो लक्ष्य वातावरण में खामी की उपस्थिति का पता लगाने में मदद करता है। इसे CGI abuses परिवार में असाइन किया गया है। प्लगइन r टाइप के कॉन्टेक्स्ट में रन हो रहा है।

1.586 संस्करण में अपग्रेड करना इस समस्या को दूर कर सकता है। यह अनुशंसा की जाती है कि प्रभावित घटक को अपग्रेड किया जाए।

कमजोरी अन्य कमजोरी डेटाबेस में भी प्रलेखित है: SecurityFocus (BID 72054) , Tenable (83956).

उत्पादजानकारी

प्रकार

नाम

संस्करण

लाइसेंस

CPE 2.3जानकारी

CPE 2.2जानकारी

CVSSv4जानकारी

VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍

CVSSv3जानकारी

VulDB मेटा बेस स्कोर: 5.3
VulDB मेटा अस्थायी स्कोर: 5.2

VulDB मूल स्कोर: 5.3
VulDB अस्थायी स्कोर: 5.1
VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍

NVD मूल स्कोर: 5.3
NVD वेक्टर: 🔍

CVSSv2जानकारी

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
सदिशजटिलताप्रमाणीकरणगोपनीयताअखंडताउपलब्धता
अनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना
अनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना
अनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना

VulDB मूल स्कोर: 🔍
VulDB अस्थायी स्कोर: 🔍
VulDB विश्वसनीयता: 🔍

NVD मूल स्कोर: 🔍

शोषणजानकारी

वर्ग: अधिकार वृद्धि
CWE: CWE-254
CAPEC: 🔍
ATT&CK: 🔍

भौतिक: नहीं
स्थानीय: नहीं
दूरस्थ: हाँ

उपलब्धता: 🔍
स्थिति: परिभाषित नहीं

EPSS Score: 🔍
EPSS Percentile: 🔍

मूल्य पूर्वानुमान: 🔍
वर्तमान मूल्य अनुमान: 🔍

0-Dayअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना
आजअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना

Nessus ID: 83956
Nessus नाम: Jenkins < 1.565.3 / 1.586 Multiple Vulnerabilities
Nessus Arquivo: 🔍
Nessus जोखिम: 🔍
Nessus परिवार: 🔍
Nessus Context: 🔍

खतरे की खुफियाजानकारी

रुचि: 🔍
सक्रिय अभिनेता: 🔍
सक्रिय APT समूह: 🔍

प्रतिव्यवस्थाजानकारी

सिफारिश: अपग्रेड
स्थिति: 🔍

0-दिवसीय समय: 🔍

अपग्रेड: Jenkins 1.586
पैच: github.com

समयरेखाजानकारी

01/10/2014 🔍
13/01/2015 +104 दिन 🔍
20/01/2015 +7 दिन 🔍
22/01/2015 +2 दिन 🔍
03/06/2015 +132 दिन 🔍
12/09/2017 +832 दिन 🔍
12/09/2017 +0 दिन 🔍
13/09/2017 +1 दिन 🔍
28/12/2022 +1932 दिन 🔍

स्रोतजानकारी

सलाह: 582128b9ac179a788d43c1478be8a5224dc19710
शोधकर्ता: Kurt Seifried
स्थिति: परिभाषित नहीं
पुष्टि: 🔍

CVE: CVE-2014-9635 (🔍)
GCVE (CVE): GCVE-0-2014-9635
GCVE (VulDB): GCVE-100-106419
SecurityFocus: 72054 - Jenkins Session Cookie Multiple Security Bypass Vulnerabilities

यह भी देखें: 🔍

प्रविष्टिजानकारी

बनाया गया: 13/09/2017 09:16 AM
अद्यतनित: 28/12/2022 12:44 PM
परिवर्तन: 13/09/2017 09:16 AM (67), 15/11/2019 08:36 AM (8), 28/12/2022 12:44 PM (5)
पूर्ण: 🔍
Cache ID: 216::103

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

चर्चा

अभी तक कोई टिप्पणी नहीं भाषाएँ: hi + ne + en.

टिप्पणी करने के लिए कृपया लॉगिन करें

◂ पिछलासिंहावलोकनअगला ▸

Want to stay up to date on a daily basis?

Enable the mail alert feature now!