Apache Qpid Broker for Java तक 6.1.0 SCRAM-SHA-1/SCRAM-SHA-256 उपयोगकर्ता सूचना का प्रकटीकरण
| CVSS मेटा अस्थायी स्कोर | वर्तमान एक्सप्लॉइट मूल्य (≈) | CTI रुचि स्कोर |
|---|---|---|
| 6.2 | $0-$5k | 0.00 |
सारांश
एक सुरक्षा कमजोरी, जिसे समस्याग्रस्त के रूप में वर्गीकृत किया गया है, Apache Qpid Broker for Java तक 6.1.0 में पाई गई है। प्रभावित तत्त्व है एक अपरिभाषित कार्य और SCRAM-SHA-1/SCRAM-SHA-256 घटक से संबंधित है। यह संशोधन सूचना का प्रकटीकरण (उपयोगकर्ता) का कारण बन सकता है। इस संवेदनशीलता को CVE-2016-8741 के रूप में जाना जाता है। हमला दूरस्थ रूप से शुरू किया जा सकता है। कोई एक्सप्लॉइट उपलब्ध नहीं है. प्रभावित कंपोनेंट को अपग्रेड करना उचित रहेगा।
विवरण
एक सुरक्षा कमजोरी, जिसे समस्याग्रस्त के रूप में वर्गीकृत किया गया है, Apache Qpid Broker for Java तक 6.1.0 में पाई गई है। प्रभावित तत्त्व है एक अपरिभाषित कार्य और SCRAM-SHA-1/SCRAM-SHA-256 घटक से संबंधित है। यह संशोधन सूचना का प्रकटीकरण (उपयोगकर्ता) का कारण बन सकता है। CWE के माध्यम से समस्या घोषित करने पर CWE-200 मिलता है। बग की खोज 28/12/2016 को हुई थी। इस कमजोरी को प्रकाशित किया गया था 28/12/2016 के रूप में [CVE-2016-8741] Apache Qpid Broker for Java - Information Leakage के रूप में Mailinglist Post (Bugtraq). सलाह seclists.org पर डाउनलोड हेतु साझा की गई है।
इस संवेदनशीलता को CVE-2016-8741 के रूप में जाना जाता है। CVE असाइनमेंट 18/10/2016 पर हुआ था. हमला दूरस्थ रूप से शुरू किया जा सकता है। कोई तकनीकी विवरण उपलब्ध नहीं है. इस भेद्यता की लोकप्रियता सामान्य स्तर से नीचे है। कोई एक्सप्लॉइट उपलब्ध नहीं है. वर्तमान में एक एक्सप्लॉइट की कीमत might be approx. USD $0-$5k है। अगर T1592 की वैल्यू है, तो MITRE ATT&CK प्रोजेक्ट इस अटैक टेक्नीक को T1592 के रूप में घोषित करता है।
यह परिभाषित नहीं के रूप में घोषित है। 0-डे के तौर पर इसकी अनुमानित अवैध बाजार कीमत करीब $5k-$25k थी. Nessus वल्नरेबिलिटी स्कैनर 96468 आईडी के साथ एक प्लगइन उपलब्ध कराता है। यह Fedora Local Security Checks परिवार को सौंपा गया है। यह प्लगइन l टाइप के कॉन्टेक्स्ट में चल रहा है।
6.0.6 , 6.1.1 संस्करण में अपग्रेड करने से यह समस्या सुलझ सकती है। प्रभावित कंपोनेंट को अपग्रेड करना उचित रहेगा। कमजोरी के प्रकटीकरण के 3 सप्ताह बाद एक संभावित शमन उपाय प्रकाशित किया गया है। परामर्श में निम्नलिखित टिप्पणी शामिल है:
If upgrading is not possible, the vulnerability can be mitigated by using an AuthenticationProvider other than SCRAM-SHA-1 and SCRAM-SHA-256.
यह कमज़ोरी अन्य कमज़ोरी डेटाबेस में भी उपलब्ध है: SecurityFocus (BID 95136) , Tenable (96468).
उत्पाद
प्रकार
विक्रेता
नाम
संस्करण
लाइसेंस
वेबसाइट
- विक्रेता: https://www.apache.org/
CPE 2.3
CPE 2.2
CVSSv4
VulDB वेक्टर: 🔍VulDB विश्वसनीयता: 🔍
CVSSv3
VulDB मेटा बेस स्कोर: 6.4VulDB मेटा अस्थायी स्कोर: 6.2
VulDB मूल स्कोर: 5.3
VulDB अस्थायी स्कोर: 4.9
VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍
NVD मूल स्कोर: 7.5
NVD वेक्टर: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| सदिश | जटिलता | प्रमाणीकरण | गोपनीयता | अखंडता | उपलब्धता |
|---|---|---|---|---|---|
| अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
| अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
| अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
VulDB मूल स्कोर: 🔍
VulDB अस्थायी स्कोर: 🔍
VulDB विश्वसनीयता: 🔍
NVD मूल स्कोर: 🔍
शोषण
नाम: Userवर्ग: सूचना का प्रकटीकरण / User
CWE: CWE-200 / CWE-284 / CWE-266
CAPEC: 🔍
ATT&CK: 🔍
भौतिक: नहीं
स्थानीय: नहीं
दूरस्थ: हाँ
उपलब्धता: 🔍
स्थिति: परिभाषित नहीं
EPSS Score: 🔍
EPSS Percentile: 🔍
मूल्य पूर्वानुमान: 🔍
वर्तमान मूल्य अनुमान: 🔍
| 0-Day | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
|---|---|---|---|---|
| आज | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
Nessus ID: 96468
Nessus नाम: Fedora 25 : qpid-java (2017-7b181f9c98)
Nessus Arquivo: 🔍
Nessus जोखिम: 🔍
Nessus परिवार: 🔍
Nessus Context: 🔍
OpenVAS ID: 867773
OpenVAS नाम: Fedora Update for qpid-java FEDORA-2017-7b181f9c98
OpenVAS Arquivo: 🔍
OpenVAS परिवार: 🔍
खतरे की खुफिया
रुचि: 🔍सक्रिय अभिनेता: 🔍
सक्रिय APT समूह: 🔍
प्रतिव्यवस्था
सिफारिश: अपग्रेडस्थिति: 🔍
प्रतिक्रिया समय: 🔍
0-दिवसीय समय: 🔍
उजागर समय: 🔍
अपग्रेड: Qpid Broker for Java 6.0.6/6.1.1
समयरेखा
18/10/2016 🔍28/12/2016 🔍
28/12/2016 🔍
28/12/2016 🔍
28/12/2016 🔍
12/01/2017 🔍
13/01/2017 🔍
15/05/2017 🔍
12/10/2022 🔍
स्रोत
विक्रेता: apache.orgसलाह: [CVE-2016-8741] Apache Qpid Broker for Java - Information Leakage
स्थिति: परिभाषित नहीं
पुष्टि: 🔍
CVE: CVE-2016-8741 (🔍)
GCVE (CVE): GCVE-0-2016-8741
GCVE (VulDB): GCVE-100-94705
SecurityFocus: 95136 - Apache Qpid Broker for Java CVE-2016-8741 Remote Information Disclosure Vulnerability
SecurityTracker: 1037537
विविध: 🔍
प्रविष्टि
बनाया गया: 28/12/2016 06:33 PMअद्यतनित: 12/10/2022 09:23 PM
परिवर्तन: 28/12/2016 06:33 PM (62), 20/07/2019 10:18 AM (12), 12/10/2022 09:09 PM (3), 12/10/2022 09:23 PM (11)
पूर्ण: 🔍
Cache ID: 216::103
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.
अभी तक कोई टिप्पणी नहीं भाषाएँ: hi + ne + en.
टिप्पणी करने के लिए कृपया लॉगिन करें