| CVSS मेटा अस्थायी स्कोर | वर्तमान एक्सप्लॉइट मूल्य (≈) | CTI रुचि स्कोर |
|---|---|---|
| 4.6 | $0-$5k | 0.00 |
सारांश
एक भेद्यता जिसे आलोचनात्मक के रूप में वर्गीकृत किया गया है, cURL and libcURL तक 7.31.1 में खोजी गई है। प्रभावित किया गया है एक अज्ञात फ़ंक्शन घटक Cookie Handler का। यह है, जो कमजोर एन्क्रिप्शन की ओर ले जाती है। यह भेद्यता CVE-2014-3620 के रूप में व्यापार की जाती है। कोई शोषण उपलब्ध नहीं है. पृष्ठभूमि और प्रतिक्रिया के चलते इस भेद्यता ने ऐतिहासिक असर डाला है। प्रभावित कंपोनेंट को अपग्रेड करना उचित रहेगा।
विवरण
एक भेद्यता जिसे आलोचनात्मक के रूप में वर्गीकृत किया गया है, cURL and libcURL तक 7.31.1 में खोजी गई है। प्रभावित किया गया है एक अज्ञात फ़ंक्शन घटक Cookie Handler का। यह है, जो कमजोर एन्क्रिप्शन की ओर ले जाती है। समस्या को घोषित करने के लिए CWE का उपयोग करने से CWE-310 की ओर ले जाता है। यह कमजोरी प्रकाशित हुई थी 10/09/2014 द्वारा Tim Ruehsen के रूप में libcurl cookie leak for TLDs के रूप में सलाह (वेबसाइट). curl.haxx.se पर एडवाइजरी डाउनलोड हेतु साझा की गई है।
यह भेद्यता CVE-2014-3620 के रूप में व्यापार की जाती है। 14/05/2014 पर CVE आवंटित किया गया था. कोई टेक्निकल जानकारी उपलब्ध नहीं है. इस भेद्यता की लोकप्रियता सामान्य स्तर से नीचे है। कोई शोषण उपलब्ध नहीं है. वर्तमान में किसी एक्सप्लॉइट की कीमत लगभग USD $0-$5k हो सकती है। MITRE ATT&CK परियोजना इस हमले की तकनीक को T1600 घोषित करती है. पृष्ठभूमि और प्रतिक्रिया के चलते इस भेद्यता ने ऐतिहासिक असर डाला है। एडवाइजरी के अनुसार:
libcurl wrongly allows cookies to be set for Top Level Domains (TLDs), thus making them apply broader than cookies are allowed. This can allow arbitrary sites to set cookies that then would get sent to a different and unrelated site or domain.
इस भेद्यता को कम से कम 26 दिनों के लिए गैर-प्रकाशित ज़ीरो-डे एक्सप्लॉइट के रूप में माना गया था। 0-day के तौर पर अनुमानित भूमिगत दाम लगभग $0-$5k था। Nessus द्वारा 78350 आईडी वाला एक प्लगइन दिया गया है। इसे Amazon Linux Local Security Checks फैमिली के अंतर्गत रखा गया है। प्लगइन l प्रकार के संदर्भ में चल रहा है। वाणिज्यिक वल्नरेबिलिटी स्कैनर Qualys इस समस्या का परीक्षण 350322 प्लगइन से कर सकता है (Amazon Linux Security Advisory for curl: ALAS-2014-407).
यदि आप 7.38.0 संस्करण में अपग्रेड करते हैं, तो यह समस्या हल हो सकती है। नया संस्करण डाउनलोड के लिए curl.haxx.se पर तैयार है। प्रभावित कंपोनेंट को अपग्रेड करना उचित रहेगा।
कमज़ोरी अन्य कमज़ोरी डेटाबेस में भी प्रलेखित है: SecurityFocus (BID 69742), X-Force (95924), Vulnerability Center (SBV-58216) , Tenable (78350).
उत्पाद
प्रकार
नाम
संस्करण
लाइसेंस
CPE 2.3
CPE 2.2
CVSSv4
VulDB वेक्टर: 🔍VulDB विश्वसनीयता: 🔍
CVSSv3
VulDB मेटा बेस स्कोर: 5.3VulDB मेटा अस्थायी स्कोर: 4.6
VulDB मूल स्कोर: 5.3
VulDB अस्थायी स्कोर: 4.6
VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| सदिश | जटिलता | प्रमाणीकरण | गोपनीयता | अखंडता | उपलब्धता |
|---|---|---|---|---|---|
| अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
| अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
| अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
VulDB मूल स्कोर: 🔍
VulDB अस्थायी स्कोर: 🔍
VulDB विश्वसनीयता: 🔍
NVD मूल स्कोर: 🔍
शोषण
वर्ग: कमजोर एन्क्रिप्शनCWE: CWE-310
CAPEC: 🔍
ATT&CK: 🔍
भौतिक: नहीं
स्थानीय: नहीं
दूरस्थ: हाँ
उपलब्धता: 🔍
स्थिति: असिद्ध
EPSS Score: 🔍
EPSS Percentile: 🔍
मूल्य पूर्वानुमान: 🔍
वर्तमान मूल्य अनुमान: 🔍
| 0-Day | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
|---|---|---|---|---|
| आज | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
Nessus ID: 78350
Nessus नाम: Amazon Linux AMI : curl (ALAS-2014-407)
Nessus Arquivo: 🔍
Nessus जोखिम: 🔍
Nessus परिवार: 🔍
Nessus Context: 🔍
OpenVAS ID: 703022
OpenVAS नाम: Debian Security Advisory DSA 3022-1 (curl - security update)
OpenVAS Arquivo: 🔍
OpenVAS परिवार: 🔍
Qualys ID: 🔍
Qualys नाम: 🔍
खतरे की खुफिया
रुचि: 🔍सक्रिय अभिनेता: 🔍
सक्रिय APT समूह: 🔍
प्रतिव्यवस्था
सिफारिश: अपग्रेडस्थिति: 🔍
प्रतिक्रिया समय: 🔍
0-दिवसीय समय: 🔍
उजागर समय: 🔍
अपग्रेड: cURL/libcURL 7.38.0
समयरेखा
14/05/2014 🔍15/08/2014 🔍
10/09/2014 🔍
10/09/2014 🔍
10/09/2014 🔍
12/09/2014 🔍
12/10/2014 🔍
18/11/2014 🔍
18/11/2014 🔍
14/04/2016 🔍
04/02/2019 🔍
स्रोत
सलाह: libcurl cookie leak for TLDsशोधकर्ता: Tim Ruehsen
स्थिति: पुष्टि की गई
पुष्टि: 🔍
CVE: CVE-2014-3620 (🔍)
GCVE (CVE): GCVE-0-2014-3620
GCVE (VulDB): GCVE-100-67528
OVAL: 🔍
X-Force: 95924 - cURL/libcURL cookies security bypass, Medium Risk
SecurityFocus: 69742 - cURL/libcURL CVE-2014-3620 Cookies Handling Remote Security Bypass Vulnerability
Vulnerability Center: 58216 - cURL 7.1 through 7.37.1 Remote Bypass Restrictions due to Cookies Set for Top Level Domains, Medium
विविध: 🔍
यह भी देखें: 🔍
प्रविष्टि
बनाया गया: 12/09/2014 10:31 AMअद्यतनित: 04/02/2019 04:23 PM
परिवर्तन: 12/09/2014 10:31 AM (88), 04/02/2019 04:23 PM (1)
पूर्ण: 🔍
Cache ID: 216::103
VulDB is the best source for vulnerability data and more expert information about this specific topic.
अभी तक कोई टिप्पणी नहीं भाषाएँ: hi + ne + en.
टिप्पणी करने के लिए कृपया लॉगिन करें