Zoho ManageEngine OpManager 12100/12200 Notes index.jsp Reflected क्रॉस साइट स्क्रिप्टिंग

CVSS मेटा अस्थायी स्कोरवर्तमान एक्सप्लॉइट मूल्य (≈)CTI रुचि स्कोर
3.9$0-$5k0.00

सारांशजानकारी

एक कमजोरि जिसे समस्याग्रस्त के रूप में वर्गीकृत किया गया है, Zoho ManageEngine OpManager 12100/12200 में पाई गई है। प्रभावित तत्त्व है एक अपरिभाषित कार्य /apiclient/ember/index.jsp फ़ाइल में मौजूद है और Notes घटक से संबंधित है। इसमें इनपुट /Inventory/Snapshot/MonitoringDevice/A');%20alert('XSS');nop('/PerfGraph/packetLoss/packetLoss के साथ शामिल है, जिससे क्रॉस साइट स्क्रिप्टिंग (Reflected) उत्पन्न होती है। यह हमला दूर से किया जा सकता है। इसके अलावा, एक एक्सप्लॉइट उपलब्ध है. यह अनुशंसा की जाती है कि प्रभावित घटक को अपग्रेड किया जाए।

विवरणजानकारी

एक कमजोरि जिसे समस्याग्रस्त के रूप में वर्गीकृत किया गया है, Zoho ManageEngine OpManager 12100/12200 में पाई गई है। प्रभावित तत्त्व है एक अपरिभाषित कार्य /apiclient/ember/index.jsp फ़ाइल में मौजूद है और Notes घटक से संबंधित है। इसमें इनपुट /Inventory/Snapshot/MonitoringDevice/A');%20alert('XSS');nop('/PerfGraph/packetLoss/packetLoss के साथ शामिल है, जिससे क्रॉस साइट स्क्रिप्टिंग (Reflected) उत्पन्न होती है। CWE का उपयोग करके समस्या को घोषित करने से CWE-80 प्राप्त होता है। कमजोरी प्रकाशित की गई थी 20/11/2016 द्वारा Michael Heydon के रूप में Multiple issues in OpManager 12100 & 12200 के रूप में Mailinglist Post (Full-Disclosure). एडवाइजरी को seclists.org पर डाउनलोड के लिए उपलब्ध कराया गया है। विक्रेता के साथ समन्वय कर सार्वजनिक रिलीज़ की गई है।

यह हमला दूर से किया जा सकता है। तकनीकी विवरण उपलब्ध हैं. यह भेद्यता सामान्य से कम लोकप्रिय है। इसके अलावा, एक एक्सप्लॉइट उपलब्ध है. यह एक्सप्लॉइट सार्वजनिक रूप से उजागर हो चुका है और इसका दुरुपयोग संभव है। अभी के लिए एक्सप्लॉइट की कीमत might be approx. USD $0-$5k है। यदि T1059.007 की लंबाई है, तो MITRE ATT&CK परियोजना इस हमले की तकनीक को T1059.007 के रूप में घोषित करती है।

इसे अवधारणा प्रमाण के रूप में घोषित किया गया है। यह एक्सप्लॉइट seclists.org पर डाउनलोड के लिए साझा किया गया है। इस भेद्यता को कम से कम 92 दिनों तक गैर-सार्वजनिक ज़ीरो-डे एक्सप्लॉइट के रूप में संभाला गया। 0-डे के लिए अनुमानित भूमिगत कीमत लगभग $0-$5k थी.

12200 संस्करण में अपग्रेड करने से यह समस्या सुलझ सकती है। यह अनुशंसा की जाती है कि प्रभावित घटक को अपग्रेड किया जाए।

उत्पादजानकारी

प्रकार

विक्रेता

नाम

संस्करण

लाइसेंस

वेबसाइट

CPE 2.3जानकारी

CPE 2.2जानकारी

CVSSv4जानकारी

VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍

CVSSv3जानकारी

VulDB मेटा बेस स्कोर: 4.3
VulDB मेटा अस्थायी स्कोर: 3.9

VulDB मूल स्कोर: 4.3
VulDB अस्थायी स्कोर: 3.9
VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍

CVSSv2जानकारी

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
सदिशजटिलताप्रमाणीकरणगोपनीयताअखंडताउपलब्धता
अनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना
अनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना
अनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना

VulDB मूल स्कोर: 🔍
VulDB अस्थायी स्कोर: 🔍
VulDB विश्वसनीयता: 🔍

शोषणजानकारी

नाम: Reflected
वर्ग: क्रॉस साइट स्क्रिप्टिंग / Reflected
CWE: CWE-80 / CWE-74 / CWE-707
CAPEC: 🔍
ATT&CK: 🔍

भौतिक: नहीं
स्थानीय: नहीं
दूरस्थ: हाँ

उपलब्धता: 🔍
प्रवेश: सार्वजनिक
स्थिति: अवधारणा प्रमाण
लेखक: Michael Heydon
डाउनलोड: 🔍
Google Hack: 🔍
मूल्य पूर्वानुमान: 🔍
वर्तमान मूल्य अनुमान: 🔍

0-Dayअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना
आजअनलॉक करनाअनलॉक करनाअनलॉक करनाअनलॉक करना

खतरे की खुफियाजानकारी

रुचि: 🔍
सक्रिय अभिनेता: 🔍
सक्रिय APT समूह: 🔍

प्रतिव्यवस्थाजानकारी

सिफारिश: अपग्रेड
स्थिति: 🔍

प्रतिक्रिया समय: 🔍
0-दिवसीय समय: 🔍
शोषण विलंब समय: 🔍

अपग्रेड: OpManager 12200

समयरेखाजानकारी

15/08/2016 🔍
17/08/2016 +2 दिन 🔍
15/11/2016 +90 दिन 🔍
20/11/2016 +5 दिन 🔍
20/11/2016 +0 दिन 🔍
21/11/2016 +1 दिन 🔍
24/07/2019 +975 दिन 🔍

स्रोतजानकारी

विक्रेता: manageengine.com

सलाह: Multiple issues in OpManager 12100 & 12200
शोधकर्ता: Michael Heydon
स्थिति: पुष्टि की गई
समन्वित: 🔍

GCVE (VulDB): GCVE-100-93735
scip Labs: https://www.scip.ch/en/?labs.20161013
यह भी देखें: 🔍

प्रविष्टिजानकारी

बनाया गया: 21/11/2016 02:41 PM
अद्यतनित: 24/07/2019 06:32 PM
परिवर्तन: 21/11/2016 02:41 PM (56), 24/07/2019 06:32 PM (2)
पूर्ण: 🔍
Cache ID: 216::103

Be aware that VulDB is the high quality source for vulnerability data.

चर्चा

अभी तक कोई टिप्पणी नहीं भाषाएँ: hi + ne + en.

टिप्पणी करने के लिए कृपया लॉगिन करें

◂ पिछलासिंहावलोकनअगला ▸

Want to know what is going to be exploited?

We predict KEV entries!