iScan Online Mobile 2.0.1 पर iOS Settings deviceName अधिकार वृद्धि
| CVSS मेटा अस्थायी स्कोर | वर्तमान एक्सप्लॉइट मूल्य (≈) | CTI रुचि स्कोर |
|---|---|---|
| 4.8 | $0-$5k | 0.00 |
सारांश
एक कमजोरि जिसे समस्याग्रस्त के रूप में वर्गीकृत किया गया है, iScan Online Mobile 2.0.1 पर iOS में पाई गई है। प्रभावित होता है कोई अज्ञात फ़ंक्शन घटक Settings Module का। यह हेरफेर deviceName तर्क HTTP POST Request के हिस्से के रूप में अधिकार वृद्धि उत्पन्न करता है। अतिरिक्त रूप से, एक एक्सप्लॉइट मौजूद है.
विवरण
एक कमजोरि जिसे समस्याग्रस्त के रूप में वर्गीकृत किया गया है, iScan Online Mobile 2.0.1 पर iOS में पाई गई है। प्रभावित होता है कोई अज्ञात फ़ंक्शन घटक Settings Module का। यह हेरफेर deviceName तर्क HTTP POST Request के हिस्से के रूप में अधिकार वृद्धि उत्पन्न करता है। CWE का उपयोग करके समस्या को घोषित करने से CWE-269 प्राप्त होता है। एडवाइजरी का सारांश इस प्रकार है:
iScan Online keeps your device from being the next hacking headline. It gives both you and your IT department confidence that your device is vulnerability free, complies with PCI, HIPAA and other regulatory rules and does not contain any restricted information like credit card numbers. iScan Online also offers advance mobile device management features like remote wipe, remote lock, geo-location of your device, password policy management and more.कमजोरी प्रकाशित की गई थी 02/06/2014 द्वारा Benjamin Kunz Mejri के साथ Vulnerability Laboratory Research Team के रूप में VL-ID 1271 के रूप में सलाह (वेबसाइट). यह सलाह vulnerability-lab.com पर डाउनलोड के लिए साझा की गई है। सार्वजनिक रिलीज़ विक्रेता के साथ समन्वय के बिना हुआ।
टेक्निकल डिटेल्स उपलब्ध हैं. इस भेद्यता की लोकप्रियता औसत से कम है। अतिरिक्त रूप से, एक एक्सप्लॉइट मौजूद है. एक्सप्लॉइट को सार्वजनिक रूप से प्रकट किया गया है और इसका उपयोग किया जा सकता है। अब के लिए एक्सप्लॉइट की कीमत अनुमानतः USD $0-$5k हो सकती है। MITRE ATT&CK परियोजना हमले की तकनीक को T1068 के रूप में घोषित करती है.
इसे अवधारणा प्रमाण के रूप में घोषित किया गया है। एक्सप्लॉइट डाउनलोड के लिए vulnerability-lab.com पर साझा किया गया है। 0-day के समय अनुमानित अंडरग्राउंड मूल्य लगभग $0-$5k था। एडवाइजरी इंगित करती है:
The local command inject web vulnerability can be exploited by remote attackers with local low privileged iOS device account without user interaction. For security demonstration or to reproduce the security vulnerability follow the provided information and steps below to continue. Manual steps to reproduce the vulnerability ... 1. Login to your iOS device and download+install the mobile application ( https://itunes.apple.com/us/app/iscan-online-mobile/id658461644 ) 2. Change the iOS devicename (device information > settings) to the local command inject payload and save the details after the update Note: Request mobile var path or application files with local command 3. Open the iscan online mobile application and click the settings button on the buttom of the app navigation 4. The local command execution occurs in the `Device Name` output context of the registration information 5. Successful reproduce of the local command inject web vulnerability!
एडवाइजरी में निम्नलिखित टिप्पणी है:
The local command inject web vulnerability can be patched by a secure parse and encode of vulnerable devicename output context in the registration information (settings) module.
उत्पाद
प्रकार
नाम
संस्करण
CPE 2.3
CPE 2.2
CVSSv4
VulDB वेक्टर: 🔍VulDB विश्वसनीयता: 🔍
CVSSv3
VulDB मेटा बेस स्कोर: 5.3VulDB मेटा अस्थायी स्कोर: 4.8
VulDB मूल स्कोर: 5.3
VulDB अस्थायी स्कोर: 4.8
VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| सदिश | जटिलता | प्रमाणीकरण | गोपनीयता | अखंडता | उपलब्धता |
|---|---|---|---|---|---|
| अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
| अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
| अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
VulDB मूल स्कोर: 🔍
VulDB अस्थायी स्कोर: 🔍
VulDB विश्वसनीयता: 🔍
शोषण
वर्ग: अधिकार वृद्धिCWE: CWE-269 / CWE-266
CAPEC: 🔍
ATT&CK: 🔍
भौतिक: आंशिक रूप से
स्थानीय: हाँ
दूरस्थ: नहीं
उपलब्धता: 🔍
प्रवेश: सार्वजनिक
स्थिति: अवधारणा प्रमाण
लेखक: Benjamin Kunz Mejri
प्रोग्रामिंग भाषा: 🔍
डाउनलोड: 🔍
मूल्य पूर्वानुमान: 🔍
वर्तमान मूल्य अनुमान: 🔍
| 0-Day | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
|---|---|---|---|---|
| आज | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
खतरे की खुफिया
रुचि: 🔍सक्रिय अभिनेता: 🔍
सक्रिय APT समूह: 🔍
प्रतिव्यवस्था
सिफारिश: कोई शमन ज्ञात नहींस्थिति: 🔍
0-दिवसीय समय: 🔍
शोषण विलंब समय: 🔍
समयरेखा
02/06/2014 🔍02/06/2014 🔍
03/06/2014 🔍
02/04/2019 🔍
स्रोत
सलाह: VL-ID 1271शोधकर्ता: Benjamin Kunz Mejri
संगठन: Vulnerability Laboratory Research Team
स्थिति: परिभाषित नहीं
GCVE (VulDB): GCVE-100-13427
scip Labs: https://www.scip.ch/en/?labs.20161013
विविध: 🔍
प्रविष्टि
बनाया गया: 03/06/2014 10:21 PMअद्यतनित: 02/04/2019 06:05 PM
परिवर्तन: 03/06/2014 10:21 PM (54), 02/04/2019 06:05 PM (2)
पूर्ण: 🔍
Cache ID: 216::103
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.
अभी तक कोई टिप्पणी नहीं भाषाएँ: hi + ne + en.
टिप्पणी करने के लिए कृपया लॉगिन करें