Digium Asterisk तक 12.7.0 DB Dialplan Function अधिकार वृद्धि
| CVSS मेटा अस्थायी स्कोर | वर्तमान एक्सप्लॉइट मूल्य (≈) | CTI रुचि स्कोर |
|---|---|---|
| 5.5 | $0-$5k | 0.00 |
सारांश
एक कमजोरि जिसे आलोचनात्मक के रूप में वर्गीकृत किया गया है, Digium Asterisk 1.8.28.0/1.8.32.0/11.6.0/11.14.0/12.7.0 में पाई गई है। प्रभावित किया गया है एक अज्ञात फ़ंक्शन घटक DB Dialplan Function का। यह संशोधन अधिकार वृद्धि का कारण बन सकता है। यह भेद्यता CVE-2014-8418 के रूप में व्यापार की जाती है। हमला दूरस्थ रूप से शुरू किया जा सकता है। कोई शोषण उपलब्ध नहीं है. प्रभावित कंपोनेंट को अपग्रेड करना उचित रहेगा।
विवरण
एक कमजोरि जिसे आलोचनात्मक के रूप में वर्गीकृत किया गया है, Digium Asterisk 1.8.28.0/1.8.32.0/11.6.0/11.14.0/12.7.0 में पाई गई है। प्रभावित किया गया है एक अज्ञात फ़ंक्शन घटक DB Dialplan Function का। यह संशोधन अधिकार वृद्धि का कारण बन सकता है। CWE का उपयोग करके समस्या को घोषित करने से CWE-264 प्राप्त होता है। कमजोरी प्रकाशित की गई थी 20/11/2014 द्वारा Gareth Palmer के रूप में AST-2014-018 के रूप में सलाह (वेबसाइट). सलाह downloads.asterisk.org पर डाउनलोड हेतु साझा की गई है।
यह भेद्यता CVE-2014-8418 के रूप में व्यापार की जाती है। 22/10/2014 पर CVE आवंटित किया गया था. हमला दूरस्थ रूप से शुरू किया जा सकता है। कोई टेक्निकल जानकारी उपलब्ध नहीं है. इस भेद्यता की लोकप्रियता सामान्य स्तर से नीचे है। कोई शोषण उपलब्ध नहीं है. वर्तमान में किसी एक्सप्लॉइट की कीमत लगभग USD $0-$5k हो सकती है। MITRE ATT&CK परियोजना इस हमले की तकनीक को T1068 घोषित करती है. एडवाइजरी के अनुसार:
The DB dialplan function when executed from an external protocol (for instance AMI), could result in a privilege escalation.
इस भेद्यता को कम से कम 3 दिनों तक गैर-सार्वजनिक ज़ीरो-डे एक्सप्लॉइट के रूप में संभाला गया। 0-day के तौर पर अनुमानित भूमिगत दाम लगभग $0-$5k था। वल्नरेबिलिटी स्कैनर Nessus ID 79438 वाला एक प्लगइन प्रदान करता है (Asterisk Multiple Vulnerabilities (AST-2014-012 / AST-2014-018)), जो लक्ष्य वातावरण में खामी की उपस्थिति का पता लगाने में मदद करता है। इसे विविध परिवार में असाइन किया गया है।
यदि आप 1.8.32.1, 11.14.1, 12.7.1 , 13.0.1 संस्करण में अपग्रेड करते हैं, तो यह समस्या हल हो सकती है। प्रभावित कंपोनेंट को अपग्रेड करना उचित रहेगा। एडवाइजरी में निम्नलिखित टिप्पणी है:
Asterisk now inhibits the DB function from being executed from an external interface if the live_dangerously option is set to no.
कमजोरी अन्य कमजोरी डेटाबेस में भी प्रलेखित है: SecurityFocus (BID 71227), X-Force (98869), SecurityTracker (ID 1031251), Vulnerability Center (SBV-47477) , Tenable (79438).
उत्पाद
प्रकार
विक्रेता
नाम
संस्करण
लाइसेंस
वेबसाइट
- विक्रेता: https://www.digium.com/
CPE 2.3
CPE 2.2
CVSSv4
VulDB वेक्टर: 🔍VulDB विश्वसनीयता: 🔍
CVSSv3
VulDB मेटा बेस स्कोर: 6.3VulDB मेटा अस्थायी स्कोर: 5.5
VulDB मूल स्कोर: 6.3
VulDB अस्थायी स्कोर: 5.5
VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| सदिश | जटिलता | प्रमाणीकरण | गोपनीयता | अखंडता | उपलब्धता |
|---|---|---|---|---|---|
| अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
| अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
| अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
VulDB मूल स्कोर: 🔍
VulDB अस्थायी स्कोर: 🔍
VulDB विश्वसनीयता: 🔍
NVD मूल स्कोर: 🔍
शोषण
वर्ग: अधिकार वृद्धिCWE: CWE-264
CAPEC: 🔍
ATT&CK: 🔍
भौतिक: नहीं
स्थानीय: नहीं
दूरस्थ: हाँ
उपलब्धता: 🔍
स्थिति: असिद्ध
EPSS Score: 🔍
EPSS Percentile: 🔍
मूल्य पूर्वानुमान: 🔍
वर्तमान मूल्य अनुमान: 🔍
| 0-Day | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
|---|---|---|---|---|
| आज | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
Nessus ID: 79438
Nessus नाम: Asterisk Multiple Vulnerabilities (AST-2014-012 / AST-2014-018)
Nessus Arquivo: 🔍
Nessus जोखिम: 🔍
Nessus परिवार: 🔍
OpenVAS ID: 18627
OpenVAS नाम: Gentoo Linux Local Check: https://security.gentoo.org/glsa/201412-51
OpenVAS Arquivo: 🔍
OpenVAS परिवार: 🔍
खतरे की खुफिया
रुचि: 🔍सक्रिय अभिनेता: 🔍
सक्रिय APT समूह: 🔍
प्रतिव्यवस्था
सिफारिश: अपग्रेडस्थिति: 🔍
प्रतिक्रिया समय: 🔍
0-दिवसीय समय: 🔍
उजागर समय: 🔍
अपग्रेड: Asterisk 1.8.32.1/11.14.1/12.7.1/13.0.1
समयरेखा
22/10/2014 🔍17/11/2014 🔍
17/11/2014 🔍
17/11/2014 🔍
20/11/2014 🔍
20/11/2014 🔍
21/11/2014 🔍
24/11/2014 🔍
24/11/2014 🔍
09/12/2014 🔍
27/02/2022 🔍
स्रोत
विक्रेता: digium.comसलाह: AST-2014-018
शोधकर्ता: Gareth Palmer
स्थिति: पुष्टि की गई
पुष्टि: 🔍
CVE: CVE-2014-8418 (🔍)
GCVE (CVE): GCVE-0-2014-8418
GCVE (VulDB): GCVE-100-68263
X-Force: 98869 - Asterisk DB dialplan function privilege escalation, Medium Risk
SecurityFocus: 71227 - Multiple Asterisk Products 'funcs/func_db.c' Remote Privilege Escalation Vulnerability
SecurityTracker: 1031251 - Asterisk DB Dialplan Function Lets Remote Authenticated Users Gain Elevated Privileges
Vulnerability Center: 47477 - Asterisk Open Source and Certified Asterisk Remote Host Privileges via a Call From an External Protocol, High
यह भी देखें: 🔍
प्रविष्टि
बनाया गया: 24/11/2014 09:38 AMअद्यतनित: 27/02/2022 08:11 AM
परिवर्तन: 24/11/2014 09:38 AM (73), 24/12/2017 09:37 AM (13), 27/02/2022 08:09 AM (3), 27/02/2022 08:11 AM (1)
पूर्ण: 🔍
Cache ID: 216::103
Be aware that VulDB is the high quality source for vulnerability data.
अभी तक कोई टिप्पणी नहीं भाषाएँ: hi + ne + en.
टिप्पणी करने के लिए कृपया लॉगिन करें