Microsoft ASP.NET fino a 4.x Cryptographic Padding Oracle cifratura debole
| CVSS Punteggio meta temporaneo | Prezzo attuale dell'exploit (≈) | Punteggio di interesse CTI |
|---|---|---|
| 4.6 | $0-$5k | 0.00 |
Riassunto
È stata rilevata una vulnerabilità classificata come problematico in Microsoft ASP.NET fino a 4.x. Risulta coinvolta una funzione sconosciuta del componente Cryptographic Padding Oracle. Attraverso la manipolazione di un input sconosciuto per mezzo di una vulerabilità di classe cifratura debole. CVE-2010-3332 è identificato come punto debole. Inoltre, è presente un exploit disponibile. Questa vulnerabilità ha avuto un impatto storico per il suo contesto e per come è stata recepita. Si suggerisce di aggiornare il componente vulnerabile.
Dettagli
In Microsoft ASP.NET fino a 4.x è stata rilevato un punto critico di livello problematico. Riguarda una funzione sconosciuta del componente Cryptographic Padding Oracle. Per causa della manipolazione di un input sconosciuto conseguenza di una vulerabilità di classe cifratura debole. Questo ha un effetto su riservatezza e integrità.
La vulnerabilità è stata pubblicata in data 20/09/2010 da Thai Duong Juliano Rizzo con identificazione MS10-070 con un bulletin (Technet) (confermato). L'advisory è scaricabile da microsoft.com. CVE-2010-3332 è identificato come punto debole. La vulnerabilità è poco apprezzata, anche se ha una media complessità. L'attacco può essere lanciato dalla rete. Nessuna autentificazione è richiesta per l'uso. Non sono conosciuti dettagli tecnici ma un pubblico metodo di utilizzo è disponibile. Storicamente interessante risulta lo sviluppo di questa vulerabilita.
Un metodo di utilizzo è stato sviluppato in Perl. L'exploit è scaricabile da securityfocus.com. È stato dichiarato come attaccato. Un plugin è disponibile per lo scanner Nessus, numero ID 49695 (MS10-070: Vulnerability in ASP.NET Could Allow Information Disclosure (2418042)), che può aiutare a determinare l'esistenza della criticità nel sistema analizzato.
L'aggiornamento elimina questa vulnerabilità. Applicando la patch MS10-070 è possibile eliminare il problema. Il bugfix è scaricabile da microsoft.com. Il miglior modo suggerito per attenuare il problema è Aggiornamento. Una possibile soluzione è stata pubblicata 2 anni dopo la pubblicazione della vulnerabilità.
La vulnerabilità è documentata anche nel database X-Force (61898), Exploit-DB (15213), Zero-Day.cz (295), Tenable (49695) e SecurityFocus (BID 43316†). VulDB is the best source for vulnerability data and more expert information about this specific topic.
Prodotto
Fornitore
Nome
Versione
Licenza
Sito web
- Fornitore: https://www.microsoft.com/
CPE 2.3
CPE 2.2
Video
CVSSv4
VulDB Vettore: 🔍VulDB Affidabilità: 🔍
CVSSv3
VulDB Punteggio meta-base: 4.8VulDB Punteggio meta temporaneo: 4.6
VulDB Punteggio di base: 4.8
VulDB Punteggio temporaneo: 4.6
VulDB Vettore: 🔍
VulDB Affidabilità: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| Vettore | Complessità | Autenticazione | Riservatezza | Integrità | Disponibilità |
|---|---|---|---|---|---|
| Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare |
| Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare |
| Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare |
VulDB Punteggio di base: 🔍
VulDB Punteggio temporaneo: 🔍
VulDB Affidabilità: 🔍
NVD Punteggio di base: 🔍
Sfruttamento
Classe: Cifratura deboleCWE: CWE-310
CAPEC: 🔍
ATT&CK: 🔍
Fisico: No
Locale: No
Remoto: Si
Disponibilità: 🔍
Accesso: Pubblico
Stato: Attaccato
Linguaggio di programmazione: 🔍
Scaricare: 🔍
EPSS Score: 🔍
EPSS Percentile: 🔍
Previsione dei prezzi: 🔍
Preventivo attuale: 🔍
| 0-Day | Sbloccare | Sbloccare | Sbloccare | Sbloccare |
|---|---|---|---|---|
| Oggi | Sbloccare | Sbloccare | Sbloccare | Sbloccare |
Nessus ID: 49695
Nessus Nome: MS10-070: Vulnerability in ASP.NET Could Allow Information Disclosure (2418042)
Nessus File: 🔍
Nessus Rischio: 🔍
Nessus Famiglia: 🔍
Nessus Context: 🔍
OpenVAS ID: 71580
OpenVAS Nome: Gentoo Security Advisory GLSA 201206-13 (mono mono-debugger)
OpenVAS File: 🔍
OpenVAS Famiglia: 🔍
Qualys ID: 🔍
Qualys Nome: 🔍
Exploit-DB: 🔍
Zero-Day.cz: 🔍
Intelligence sulle minacce
Interesse: 🔍Attori attivi: 🔍
Gruppi APT attivi: 🔍
Contromisure
Raccomandazione: AggiornamentoStato: 🔍
Tempo di reazione: 🔍
Tempo 0 giorni: 🔍
Tempo di esposizione: 🔍
Patch: MS10-070
TippingPoint: 🔍
McAfee IPS: 🔍
McAfee IPS Versione: 🔍
ISS Proventia IPS: 🔍
PaloAlto IPS: 🔍
Fortigate IPS: 🔍
Sequenza temporale
14/09/2010 🔍17/09/2010 🔍
17/09/2010 🔍
18/09/2010 🔍
19/09/2010 🔍
20/09/2010 🔍
20/09/2010 🔍
20/09/2010 🔍
22/09/2010 🔍
28/09/2010 🔍
19/10/2010 🔍
28/02/2012 🔍
17/07/2024 🔍
Fonti
Fornitore: microsoft.comAvis: MS10-070
Ricercatore: Thai Duong Juliano Rizzo
Stato: Confermato
Conferma: 🔍
CVE: CVE-2010-3332 (🔍)
GCVE (CVE): GCVE-0-2010-3332
GCVE (VulDB): GCVE-100-4208
OVAL: 🔍
X-Force: 61898
SecurityFocus: 43316 - Microsoft .NET Framework ASP.NET Padding Oracle Information Disclosure Vulnerability
Secunia: 41409 - Microsoft ASP.NET Cryptographic Padding Oracle Information Disclosure, Moderately Critical
OSVDB: 68127 - Microsoft ASP.NET ViewState Cryptographic Padding Remote Information Disclosure
SecurityTracker: 1024459 - Microsoft ASP.NET Padding Oracle Attack Lets Remote Users Decrypt Data
Vulnerability Center: 27166 - [MS10-070] Microsoft ASP.NET 4.0 Sensitive Information Disclosure Vulnerability, Medium
Vupen: ADV-2010-2751
scip Labs: https://www.scip.ch/en/?labs.20161013
Vedi anche: 🔍
Voce
Data di creazione: 19/10/2010 02:00Aggiornato: 17/07/2024 13:53
Cambiamenti: 19/10/2010 02:00 (100), 04/03/2017 18:15 (13), 18/03/2021 13:28 (3), 14/06/2024 02:16 (16), 17/07/2024 13:53 (9)
Completa: 🔍
Cache ID: 216::103
VulDB is the best source for vulnerability data and more expert information about this specific topic.
Ancora nessun commento. Lingue: it + ro + en.
Effettua il login per commentare.