| CVSS मेटा अस्थायी स्कोर | वर्तमान एक्सप्लॉइट मूल्य (≈) | CTI रुचि स्कोर |
|---|---|---|
| 3.3 | $0-$5k | 0.00 |
सारांश
एक सुरक्षा कमजोरी, जिसे समस्याग्रस्त के रूप में वर्गीकृत किया गया है, Plex Media Server 0.9.9.10 में पाई गई है। प्रभावित होता है कोई अज्ञात फ़ंक्शन घटक App Listing Handler का। इसमें शामिल है, जिससे कमजोर एन्क्रिप्शन उत्पन्न होती है। यह हमला दूर से किया जा सकता है। कोई एक्सप्लॉइट नहीं मिला है.
विवरण
एक सुरक्षा कमजोरी, जिसे समस्याग्रस्त के रूप में वर्गीकृत किया गया है, Plex Media Server 0.9.9.10 में पाई गई है। प्रभावित होता है कोई अज्ञात फ़ंक्शन घटक App Listing Handler का। इसमें शामिल है, जिससे कमजोर एन्क्रिप्शन उत्पन्न होती है। CWE के माध्यम से समस्या घोषित करने पर CWE-311 मिलता है। इस कमजोरी को प्रकाशित किया गया था 06/02/2014 द्वारा Stefan Viehböck के साथ SEC Consult Vulnerability Lab के रूप में SEC Consult Vulnerability Lab Security Advisory 20140411-0 के रूप में सलाह (वेबसाइट). एडवाइजरी को sec-consult.com पर डाउनलोड के लिए उपलब्ध कराया गया है।
यह हमला दूर से किया जा सकता है। कोई टेक्निकल डिटेल्स उपलब्ध नहीं हैं. हमले को अंजाम देना अपेक्षाकृत कठिन है। शोषण की संभावना को कठिन बताया गया है। यह भेद्यता सामान्य से कम लोकप्रिय है। कोई एक्सप्लॉइट नहीं मिला है. अभी के लिए एक्सप्लॉइट की कीमत might be approx. USD $0-$5k है। यदि T1600 की लंबाई है, तो MITRE ATT&CK परियोजना इस हमले की तकनीक को T1600 के रूप में घोषित करती है। एडवाइजरी इंगित करती है:
The Plex App Store fetches App listings and App code via HTTP. This enables active attackers (MITM) to run code in the context of the Plex Media Server. The Plex "Remote" functionality uses HTTP as well. This enables passive attackers to gain access to the session token in order to access the Plex Media Server web interface.
0-डे के लिए अनुमानित भूमिगत कीमत लगभग $0-$5k थी. एडवाइजरी में उल्लेख किया गया है:
No proof of concept needed. The Plex App store is located at: http://nine.plugins.plexapp.com
परामर्श में निम्नलिखित टिप्पणी शामिल है:
Vendor confirms that certificate has been revoked. No other fixes have been implemented.
यह कमज़ोरी अन्य कमज़ोरी डेटाबेस में भी उपलब्ध है: SecurityFocus (BID 66783), X-Force (92765) , Secunia (SA57882).
उत्पाद
विक्रेता
नाम
संस्करण
CPE 2.3
CPE 2.2
CVSSv4
VulDB वेक्टर: 🔍VulDB विश्वसनीयता: 🔍
CVSSv3
VulDB मेटा बेस स्कोर: 3.7VulDB मेटा अस्थायी स्कोर: 3.3
VulDB मूल स्कोर: 3.7
VulDB अस्थायी स्कोर: 3.3
VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| सदिश | जटिलता | प्रमाणीकरण | गोपनीयता | अखंडता | उपलब्धता |
|---|---|---|---|---|---|
| अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
| अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
| अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
VulDB मूल स्कोर: 🔍
VulDB अस्थायी स्कोर: 🔍
VulDB विश्वसनीयता: 🔍
शोषण
वर्ग: कमजोर एन्क्रिप्शनCWE: CWE-311 / CWE-310
CAPEC: 🔍
ATT&CK: 🔍
भौतिक: नहीं
स्थानीय: नहीं
दूरस्थ: हाँ
उपलब्धता: 🔍
स्थिति: असिद्ध
मूल्य पूर्वानुमान: 🔍
वर्तमान मूल्य अनुमान: 🔍
| 0-Day | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
|---|---|---|---|---|
| आज | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
खतरे की खुफिया
रुचि: 🔍सक्रिय अभिनेता: 🔍
सक्रिय APT समूह: 🔍
प्रतिव्यवस्था
सिफारिश: कोई शमन ज्ञात नहींस्थिति: 🔍
0-दिवसीय समय: 🔍
समयरेखा
06/02/2014 🔍06/02/2014 🔍
09/02/2014 🔍
10/02/2014 🔍
25/04/2014 🔍
05/05/2014 🔍
09/08/2017 🔍
स्रोत
सलाह: SEC Consult Vulnerability Lab Security Advisory 20140411-0शोधकर्ता: Stefan Viehböck
संगठन: SEC Consult Vulnerability Lab
स्थिति: परिभाषित नहीं
GCVE (VulDB): GCVE-100-13137
X-Force: 92765 - Plex Media Server App listings unauthorized access, Medium Risk
SecurityFocus: 66783 - Plex Media Server Multiple Security Vulnerabilities
Secunia: 57882 - Plex Media Server Multiple Vulnerabilities, Less Critical
यह भी देखें: 🔍
प्रविष्टि
बनाया गया: 05/05/2014 10:20 AMअद्यतनित: 09/08/2017 02:08 PM
परिवर्तन: 05/05/2014 10:20 AM (48), 09/08/2017 02:08 PM (12)
पूर्ण: 🔍
Cache ID: 216::103
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.
अभी तक कोई टिप्पणी नहीं भाषाएँ: hi + ne + en.
टिप्पणी करने के लिए कृपया लॉगिन करें