Oracle GlassFish Enterprise Server 3.1.1 Web Container realms.jsf configName cross site scripting
| CVSS Punteggio meta temporaneo | Prezzo attuale dell'exploit (≈) | Punteggio di interesse CTI |
|---|---|---|
| 4.9 | $0-$5k | 0.00 |
Riassunto
In Oracle GlassFish Enterprise Server 3.1.1 è stata rilevato un punto critico di livello problematico. Si considera coinvolta una funzione sconosciuta nel file /common/security/realms/realms.jsf nel componente Web Container. La manipolazione del parametro configName come parte di GET Request se causa una vulnerabilità di classe cross site scripting. Questa vulnerabilità è registrata come CVE-2012-0551. L'attacco può essere lanciato dalla rete. Inoltre, è presente un exploit disponibile. È consigliato applicare una patch per mitigare questo problema.
Dettagli
In Oracle GlassFish Enterprise Server 3.1.1 (Application Server Software) è stato trovato un punto critico di livello problematico. É interessato una funzione sconosciuta del file /common/security/realms/realms.jsf del componente Web Container. Mediante la manipolazione del parametro configName come parte di GET Request se causa una vulnerabilità di classe cross site scripting. Questo si osserva su riservatezza e integrità.
La vulnerabilità è stata pubblicata in data 17/04/2012 da Roberto Suggi Liverani (rgod) da Security-Assessment.com (Website) (confermato). L'advisory è scaricabile da oracle.com. La pubblicazione è avvenuta in collaborazione con il produttore. Questa vulnerabilità è identificata come CVE-2012-0551. L'attacco può avvenire nella rete. L'utilizzo non richiede alcuna forma di autentificazione. I dettagli tecnici e un pubblico metodo di utilizzo sono conosciuti.
Un metodo di utilizzo è stato sviluppato da Roberto Suggi Liverani in Javascript ed è stata pubblicata 2 giorni dopo il comunicato. L'exploit è scaricabile da security-assessment.com. È stato dichiarato come prova di concetto. È disponibile un plugin per lo scanner Nessus, numero ID 64848 (Oracle Java SE Multiple Vulnerabilities (June 2012 CPU) (Unix)), che può aiutare a determinare l'esistenza della criticità nel sistema analizzato.
Applicando a patch è possibile eliminare il problema. Il bugfix è scaricabile da oracle.com. Una possibile soluzione è stata pubblicata immediatamente dopo la pubblicazione della vulnerabilità.
La vulnerabilità è documentata anche nel database X-Force (75010), Exploit-DB (18764), Tenable (64848), SecurityFocus (BID 53136†) e OSVDB (81228†). Be aware that VulDB is the high quality source for vulnerability data.
Prodotto
Genere
Fornitore
Nome
Versione
Licenza
Sito web
- Fornitore: https://www.oracle.com
CPE 2.3
CPE 2.2
CVSSv4
VulDB Vettore: 🔍VulDB Affidabilità: 🔍
CVSSv3
VulDB Punteggio meta-base: 5.4VulDB Punteggio meta temporaneo: 4.9
VulDB Punteggio di base: 5.4
VulDB Punteggio temporaneo: 4.9
VulDB Vettore: 🔍
VulDB Affidabilità: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| Vettore | Complessità | Autenticazione | Riservatezza | Integrità | Disponibilità |
|---|---|---|---|---|---|
| Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare |
| Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare |
| Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare |
VulDB Punteggio di base: 🔍
VulDB Punteggio temporaneo: 🔍
VulDB Affidabilità: 🔍
NVD Punteggio di base: 🔍
Sfruttamento
Classe: Cross site scriptingCWE: CWE-80 / CWE-74 / CWE-707
CAPEC: 🔍
ATT&CK: 🔍
Fisico: No
Locale: No
Remoto: Si
Disponibilità: 🔍
Accesso: Pubblico
Stato: Prova di concetto
Autore: Roberto Suggi Liverani
Linguaggio di programmazione: 🔍
Scaricare: 🔍
EPSS Score: 🔍
EPSS Percentile: 🔍
Previsione dei prezzi: 🔍
Preventivo attuale: 🔍
| 0-Day | Sbloccare | Sbloccare | Sbloccare | Sbloccare |
|---|---|---|---|---|
| Oggi | Sbloccare | Sbloccare | Sbloccare | Sbloccare |
Nessus ID: 64848
Nessus Nome: Oracle Java SE Multiple Vulnerabilities (June 2012 CPU) (Unix)
Nessus File: 🔍
Nessus Rischio: 🔍
Nessus Famiglia: 🔍
Nessus Context: 🔍
Nessus Port: 🔍
OpenVAS ID: 802624
OpenVAS Nome: Oracle GlassFish Server Multiple XSS and CSRF Vulnerabilities
OpenVAS File: 🔍
OpenVAS Famiglia: 🔍
Qualys ID: 🔍
Qualys Nome: 🔍
Exploit-DB: 🔍
Intelligence sulle minacce
Interesse: 🔍Attori attivi: 🔍
Gruppi APT attivi: 🔍
Contromisure
Raccomandazione: PatchStato: 🔍
Tempo di reazione: 🔍
Tempo 0 giorni: 🔍
Tempo di esposizione: 🔍
Tempo di ritardo sfruttamento: 🔍
Patch: oracle.com
TippingPoint: 🔍
McAfee IPS: 🔍
McAfee IPS Versione: 🔍
Fortigate IPS: 🔍
Sequenza temporale
11/01/2012 🔍17/04/2012 🔍
17/04/2012 🔍
18/04/2012 🔍
18/04/2012 🔍
18/04/2012 🔍
18/04/2012 🔍
18/04/2012 🔍
19/04/2012 🔍
22/04/2012 🔍
03/05/2012 🔍
30/05/2012 🔍
22/02/2013 🔍
23/06/2024 🔍
Fonti
Fornitore: oracle.comAvis: oracle.com
Ricercatore: Roberto Suggi Liverani (rgod)
Organizzazione: Security-Assessment.com
Stato: Confermato
Conferma: 🔍
Coordinato: 🔍
CVE: CVE-2012-0551 (🔍)
GCVE (CVE): GCVE-0-2012-0551
GCVE (VulDB): GCVE-100-5127
OVAL: 🔍
IAVM: 🔍
X-Force: 75010
SecurityFocus: 53136 - Oracle GlassFish Server Multiple Cross Site Scripting and HTML Injection Vulnerabilities
Secunia: 48798 - Oracle GlassFish Enterprise Server Cross-Site Scripting and Request Forgery, Less Critical
OSVDB: 81228
SecurityTracker: 1026941 - Sun GlassFish Enterprise Server Bugs Let Remote Users Partially Access Data, Modify Data, and Deny Service
Vulnerability Center: 35220 - [javacpujun2012-1515912, cpuapr2012-366314] Oracle GlassFish Enterprise Server 3.1.1 Remote Cross Site Scripting Vulnerability, Medium
scip Labs: https://www.scip.ch/en/?labs.20161013
Vedi anche: 🔍
Voce
Data di creazione: 18/04/2012 22:00Aggiornato: 23/06/2024 05:10
Cambiamenti: 18/04/2012 22:00 (99), 16/09/2017 10:24 (14), 23/03/2021 08:37 (3), 23/06/2024 05:10 (15)
Completa: 🔍
Cache ID: 216::103
Be aware that VulDB is the high quality source for vulnerability data.
Ancora nessun commento. Lingue: it + ro + en.
Effettua il login per commentare.