Drupal 7.33 Password Hashing API अधिकार वृद्धि

CVSS मेटा अस्थायी स्कोरवर्तमान एक्सप्लॉइट मूल्य (≈)CTI रुचि स्कोर
4.8$0-$5k0.00

सारांशजानकारी

एक सुरक्षा कमजोरी, जिसे समस्याग्रस्त के रूप में वर्गीकृत किया गया है, Drupal 7.33 में पाई गई है। प्रभावित किया गया है एक अज्ञात फ़ंक्शन घटक Password Hashing API का। इसमें शामिल है, जिससे अधिकार वृद्धि उत्पन्न होती है। यह कमजोरी CVE-2014-9016 के नाम से सूचीबद्ध है। इसके अलावा, एक शोषण उपलब्ध है. यह अनुशंसा की जाती है कि प्रभावित घटक को अपग्रेड किया जाए।

विवरणजानकारी

एक सुरक्षा कमजोरी, जिसे समस्याग्रस्त के रूप में वर्गीकृत किया गया है, Drupal 7.33 में पाई गई है। प्रभावित किया गया है एक अज्ञात फ़ंक्शन घटक Password Hashing API का। इसमें शामिल है, जिससे अधिकार वृद्धि उत्पन्न होती है। CWE के माध्यम से समस्या घोषित करने पर CWE-20 मिलता है। इस कमजोरी को प्रकाशित किया गया था 19/11/2014 द्वारा Michael Cullum, Javier Nieto and Andrés Rojas Guerrero के रूप में DRUPAL-SA-CORE-2014-006 के रूप में Security Advisory (वेबसाइट). एडवाइजरी को drupal.org पर डाउनलोड के लिए उपलब्ध कराया गया है।

यह कमजोरी CVE-2014-9016 के नाम से सूचीबद्ध है। 20/11/2014 पर CVE आवंटित किया गया था. कोई टेक्निकल जानकारी उपलब्ध नहीं है. यह भेद्यता सामान्य से कम लोकप्रिय है। इसके अलावा, एक शोषण उपलब्ध है. यह एक्सप्लॉइट सार्वजनिक रूप से उजागर हो चुका है और इसका दुरुपयोग संभव है। इस समय एक एक्सप्लॉइट की मौजूदा कीमत might be approx. USD $0-$5k है। एडवाइजरी इंगित करती है:

Drupal 7 includes a password hashing API to ensure that user supplied passwords are not stored in plain text. A vulnerability in this API allows an attacker to send specially crafted requests resulting in CPU and memory exhaustion. This may lead to the site becoming unavailable or unresponsive (denial of service).

यह अवधारणा प्रमाण के रूप में घोषित है। यह एक्सप्लॉइट exploit-db.com पर डाउनलोड के लिए साझा किया गया है। 0-डे के रूप में अनुमानित अंडरग्राउंड कीमत लगभग $0-$5k थी. एडवाइजरी में उल्लेख किया गया है:

If you have configured a custom session.inc file for your Drupal 6 or Drupal 7 site you also need to make sure that it is not prone to the same session hijacking vulnerability disclosed in this security advisory. If you have configured a custom password.inc file for your Drupal 7 site you also need to make sure that it is not prone to the same denial of service vulnerability disclosed in this security advisory.
Nessus वल्नरेबिलिटी स्कैनर 79679 आईडी के साथ एक प्लगइन उपलब्ध कराता है। यह Fedora Local Security Checks परिवार को सौंपा गया है। यह 0 पोर्ट पर आधारित है. वाणिज्यिक वल्नरेबिलिटी स्कैनर Qualys इस समस्या का परीक्षण 13074 प्लगइन से कर सकता है (Drupal Core Password Hashing API Denial of Service Vulnerability (SA-CORE-2014-006)).

यदि आप 6.x , 7.34 संस्करण में अपग्रेड करते हैं, तो यह समस्या हल हो सकती है। यह अनुशंसा की जाती है कि प्रभावित घटक को अपग्रेड किया जाए।

यह कमज़ोरी अन्य कमज़ोरी डेटाबेस में भी उपलब्ध है: SecurityFocus (BID 71195), X-Force (98861), Secunia (SA59164), Vulnerability Center (SBV-47447) , Tenable (79679).

उत्पादजानकारी

प्रकार

नाम

संस्करण

लाइसेंस

वेबसाइट

CPE 2.3जानकारी

CPE 2.2जानकारी

CVSSv4जानकारी

VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍

CVSSv3जानकारी

VulDB मेटा बेस स्कोर: 5.3
VulDB मेटा अस्थायी स्कोर: 4.8

VulDB मूल स्कोर: 5.3
VulDB अस्थायी स्कोर: 4.8
VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍

CVSSv2जानकारी

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
सदिशजटिलताप्रमाणीकरणगोपनीयताअखंडताउपलब्धता
अनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना
अनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना
अनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना

VulDB मूल स्कोर: 🔍
VulDB अस्थायी स्कोर: 🔍
VulDB विश्वसनीयता: 🔍

NVD मूल स्कोर: 🔍

शोषणजानकारी

वर्ग: अधिकार वृद्धि
CWE: CWE-20
CAPEC: 🔍
ATT&CK: 🔍

भौतिक: नहीं
स्थानीय: नहीं
दूरस्थ: हाँ

उपलब्धता: 🔍
प्रवेश: सार्वजनिक
स्थिति: अवधारणा प्रमाण
डाउनलोड: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

मूल्य पूर्वानुमान: 🔍
वर्तमान मूल्य अनुमान: 🔍

0-Dayअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना
आजअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना

Nessus ID: 79679
Nessus नाम: Fedora 20 : drupal7-7.34-1.fc20 (2014-15528)
Nessus Arquivo: 🔍
Nessus जोखिम: 🔍
Nessus परिवार: 🔍
Nessus Port: 🔍

OpenVAS ID: 703075
OpenVAS नाम: Debian Security Advisory DSA 3075-1 (drupal7 - security update)
OpenVAS Arquivo: 🔍
OpenVAS परिवार: 🔍

Qualys ID: 🔍
Qualys नाम: 🔍

Exploit-DB: 🔍

खतरे की खुफियाजानकारी

रुचि: 🔍
सक्रिय अभिनेता: 🔍
सक्रिय APT समूह: 🔍

प्रतिव्यवस्थाजानकारी

सिफारिश: अपग्रेड
स्थिति: 🔍

प्रतिक्रिया समय: 🔍
0-दिवसीय समय: 🔍
उजागर समय: 🔍

अपग्रेड: Drupal 6.x/7.34

समयरेखाजानकारी

19/11/2014 🔍
19/11/2014 +0 दिन 🔍
19/11/2014 +0 दिन 🔍
19/11/2014 +0 दिन 🔍
20/11/2014 +1 दिन 🔍
21/11/2014 +1 दिन 🔍
21/11/2014 +0 दिन 🔍
24/11/2014 +3 दिन 🔍
03/12/2014 +9 दिन 🔍
08/12/2014 +5 दिन 🔍
05/01/2025 +3681 दिन 🔍

स्रोतजानकारी

उत्पाद: drupal.org

सलाह: DRUPAL-SA-CORE-2014-006
शोधकर्ता: Michael Cullum, Javier Nieto, Andrés Rojas Guerrero
स्थिति: पुष्टि की गई
पुष्टि: 🔍

CVE: CVE-2014-9016 (🔍)
GCVE (CVE): GCVE-0-2014-9016
GCVE (VulDB): GCVE-100-68253

OVAL: 🔍

X-Force: 98861 - Drupal core password hashing API denial of service, Medium Risk
SecurityFocus: 71195 - Drupal Core CVE-2014-9015 Session Hijacking Vulnerability
Secunia: 59164 - Drupal Session Hijacking and Denial of Service Vulnerabilities, Moderately Critical
Vulnerability Center: 47447 - Drupal 7.x before 7.34 and Phpass Module 6.x-2.x before 6.x-2.1 for Drupal Remote DoS via a Crafted Request, Medium

scip Labs: https://www.scip.ch/en/?labs.20161013
विविध: 🔍
यह भी देखें: 🔍

प्रविष्टिजानकारी

बनाया गया: 21/11/2014 09:24 AM
अद्यतनित: 05/01/2025 04:22 AM
परिवर्तन: 21/11/2014 09:24 AM (82), 13/06/2017 09:17 AM (4), 25/02/2022 07:15 AM (3), 08/12/2024 07:40 PM (16), 05/01/2025 04:22 AM (11)
पूर्ण: 🔍
Cache ID: 216::103

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

चर्चा

अभी तक कोई टिप्पणी नहीं भाषाएँ: hi + ne + en.

टिप्पणी करने के लिए कृपया लॉगिन करें

◂ पिछलासिंहावलोकनअगला ▸

Do you know our Splunk app?

Download it now for free!