| CVSS मेटा अस्थायी स्कोर | वर्तमान एक्सप्लॉइट मूल्य (≈) | CTI रुचि स्कोर |
|---|---|---|
| 5.1 | $0-$5k | 0.00 |
सारांश
एक कमजोरि जिसे समस्याग्रस्त के रूप में वर्गीकृत किया गया है, Digium Asterisk 11.x/12.x/13.x में पाई गई है। प्रभावित तत्त्व है एक अपरिभाषित कार्य और WebSocket घटक से संबंधित है। इसमें शामिल है, जिससे बफ़र ओवरफ़्लो उत्पन्न होती है। इस भेद्यता को CVE-2014-9374 के रूप में ट्रेड किया जाता है। कोई एक्सप्लॉइट उपलब्ध नहीं है. यह अनुशंसा की जाती है कि प्रभावित घटक को अपग्रेड किया जाए।
विवरण
एक कमजोरि जिसे समस्याग्रस्त के रूप में वर्गीकृत किया गया है, Digium Asterisk 11.x/12.x/13.x में पाई गई है। प्रभावित तत्त्व है एक अपरिभाषित कार्य और WebSocket घटक से संबंधित है। इसमें शामिल है, जिससे बफ़र ओवरफ़्लो उत्पन्न होती है। CWE का उपयोग करके समस्या को घोषित करने से CWE-415 प्राप्त होता है। कमजोरी प्रकाशित की गई थी 10/12/2014 द्वारा Badalian Vyacheslav के रूप में AST-2014-019 के रूप में सलाह (वेबसाइट). एडवाइजरी को downloads.digium.com पर डाउनलोड के लिए उपलब्ध कराया गया है।
इस भेद्यता को CVE-2014-9374 के रूप में ट्रेड किया जाता है। CVE असाइनमेंट 11/12/2014 पर हुआ था. कोई तकनीकी विवरण उपलब्ध नहीं है. यह भेद्यता सामान्य से कम लोकप्रिय है। कोई एक्सप्लॉइट उपलब्ध नहीं है. फिलहाल एक्सप्लॉइट की कीमत might be approx. USD $0-$5k है। एडवाइजरी इंगित करती है:
When handling a WebSocket frame the res_http_websocket module dynamically changes the size of the memory used to allow the provided payload to fit. If a payload length of zero was received the code would incorrectly attempt to resize to zero. This operation would succeed and end up freeing the memory but be treated as a failure. When the session was subsequently torn down this memory would get freed yet again causing a crash.
इसे परिभाषित नहीं के रूप में घोषित किया गया है। इस भेद्यता को कम से कम 41 दिनों तक गैर-सार्वजनिक ज़ीरो-डे एक्सप्लॉइट के रूप में संभाला गया। 0-डे के रूप में इसका अनुमानित अंडरग्राउंड मूल्य लगभग $0-$5k था. वल्नरेबिलिटी स्कैनर Nessus ID 80036 वाला एक प्लगइन प्रदान करता है (Asterisk 'res_http_websocket' Double-Free DoS (AST-2014-019)), जो लक्ष्य वातावरण में खामी की उपस्थिति का पता लगाने में मदद करता है। इसे विविध परिवार में असाइन किया गया है।
11.14.2, 12.7.2, 13.0.2 , 11.6-cert9 संस्करण में अपग्रेड करने से यह समस्या सुलझ सकती है। यह अनुशंसा की जाती है कि प्रभावित घटक को अपग्रेड किया जाए। एडवाइजरी में निम्नलिखित टिप्पणी है:
Ensure the built-in HTTP server is disabled, upgrade to a version listed below, or apply the applicable patch. The change ensures that res_http_websocket does not treat the freeing of memory when a payload length of zero is received as fatal.
कमजोरी अन्य कमजोरी डेटाबेस में भी प्रलेखित है: SecurityFocus (BID 71607), Secunia (SA60251), SecurityTracker (ID 1031345) , Tenable (80036).
उत्पाद
प्रकार
विक्रेता
नाम
संस्करण
लाइसेंस
वेबसाइट
- विक्रेता: https://www.digium.com/
CPE 2.3
CPE 2.2
CVSSv4
VulDB वेक्टर: 🔍VulDB विश्वसनीयता: 🔍
CVSSv3
VulDB मेटा बेस स्कोर: 5.3VulDB मेटा अस्थायी स्कोर: 5.1
VulDB मूल स्कोर: 5.3
VulDB अस्थायी स्कोर: 5.1
VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| सदिश | जटिलता | प्रमाणीकरण | गोपनीयता | अखंडता | उपलब्धता |
|---|---|---|---|---|---|
| अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
| अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
| अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
VulDB मूल स्कोर: 🔍
VulDB अस्थायी स्कोर: 🔍
VulDB विश्वसनीयता: 🔍
NVD मूल स्कोर: 🔍
शोषण
वर्ग: बफ़र ओवरफ़्लोCWE: CWE-415 / CWE-119
CAPEC: 🔍
ATT&CK: 🔍
भौतिक: नहीं
स्थानीय: नहीं
दूरस्थ: हाँ
उपलब्धता: 🔍
स्थिति: परिभाषित नहीं
EPSS Score: 🔍
EPSS Percentile: 🔍
मूल्य पूर्वानुमान: 🔍
वर्तमान मूल्य अनुमान: 🔍
| 0-Day | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
|---|---|---|---|---|
| आज | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
Nessus ID: 80036
Nessus नाम: Asterisk 'res_http_websocket' Double-Free DoS (AST-2014-019)
Nessus Arquivo: 🔍
Nessus जोखिम: 🔍
Nessus परिवार: 🔍
OpenVAS ID: 18627
OpenVAS नाम: Gentoo Linux Local Check: https://security.gentoo.org/glsa/201412-51
OpenVAS Arquivo: 🔍
OpenVAS परिवार: 🔍
खतरे की खुफिया
रुचि: 🔍सक्रिय अभिनेता: 🔍
सक्रिय APT समूह: 🔍
प्रतिव्यवस्था
सिफारिश: अपग्रेडस्थिति: 🔍
0-दिवसीय समय: 🔍
अपग्रेड: Asterisk 11.14.2/12.7.2/13.0.2/11.6-cert9
समयरेखा
30/10/2014 🔍10/12/2014 🔍
10/12/2014 🔍
11/12/2014 🔍
11/12/2014 🔍
11/12/2014 🔍
12/12/2014 🔍
01/03/2022 🔍
स्रोत
विक्रेता: digium.comसलाह: AST-2014-019
शोधकर्ता: Badalian Vyacheslav
स्थिति: पुष्टि की गई
पुष्टि: 🔍
CVE: CVE-2014-9374 (🔍)
GCVE (CVE): GCVE-0-2014-9374
GCVE (VulDB): GCVE-100-68415
SecurityFocus: 71607 - Multiple Asterisk Products WebSocket Server Denial of Service Vulnerability
Secunia: 60251
SecurityTracker: 1031345 - Asterisk WebSocket Server Flaw Lets Remote Users Deny Service
यह भी देखें: 🔍
प्रविष्टि
बनाया गया: 11/12/2014 03:13 PMअद्यतनित: 01/03/2022 09:37 AM
परिवर्तन: 11/12/2014 03:13 PM (59), 07/07/2017 05:15 PM (16), 01/03/2022 09:36 AM (3), 01/03/2022 09:37 AM (1)
पूर्ण: 🔍
Cache ID: 216::103
Be aware that VulDB is the high quality source for vulnerability data.
अभी तक कोई टिप्पणी नहीं भाषाएँ: hi + ne + en.
टिप्पणी करने के लिए कृपया लॉगिन करें