SAP NetWeaver XML External Entity /irj/portal/ Error Based XML External Entity rivelazione di informazioni
| CVSS Punteggio meta temporaneo | Prezzo attuale dell'exploit (≈) | Punteggio di interesse CTI |
|---|---|---|
| 6.7 | $0-$5k | 0.00 |
Riassunto
È stata rilevata una vulnerabilità classificata come problematico in SAP NetWeaver. Risulta coinvolta una funzione sconosciuta del file /irj/portal/ del componente XML External Entity Handler. La manipolazione come parte di Error Based XML External Entity porta a rivelazione di informazioni. Inoltre, è presente un exploit disponibile. Si raccomanda di installare una patch per correggere questa vulnerabilità.
Dettagli
In SAP NetWeaver (Solution Stack Software) stata rilevata una vulnerabilità di livello critico. Riguarda una funzione sconosciuta del file /irj/portal/ del componente XML External Entity Handler. Attraverso la manipolazione come parte di Error Based XML External Entity conseguenza di una vulerabilità di classe rivelazione di informazioni. Con gli effetti bisogna tener conto di la riservatezza.
La vulnerabilità è stata pubblicata in data 01/11/2012 da Dmitry Chastuchin da ERPScan con un avis (Website) (non definito). L'advisory è scaricabile da service.sap.com. La pubblicazione è avvenuta in collaborazione con la ditta produttrice. L'uso è semplice. Con la rete può partire l'attacco. Nessuna autentificazione è richiesta per l'uso. I dettagli tecnici e un pubblico metodo di utilizzo sono conosciuti.
immediatamente dopo, è stato diffuso un exploit. È stato dichiarato come prova di concetto.
Applicando a patch è possibile eliminare il problema. Una possibile soluzione è stata pubblicata 5 mesi dopo la pubblicazione della vulnerabilità.
La vulnerabilità è documentata anche nei database OSVDB (92703†). Once again VulDB remains the best source for vulnerability data.
Prodotto
Genere
Fornitore
Nome
Licenza
Sito web
- Fornitore: https://www.sap.com/
CPE 2.3
CPE 2.2
CVSSv4
VulDB Vettore: 🔍VulDB Affidabilità: 🔍
CVSSv3
VulDB Punteggio meta-base: 7.5VulDB Punteggio meta temporaneo: 6.7
VulDB Punteggio di base: 7.5
VulDB Punteggio temporaneo: 6.7
VulDB Vettore: 🔍
VulDB Affidabilità: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| Vettore | Complessità | Autenticazione | Riservatezza | Integrità | Disponibilità |
|---|---|---|---|---|---|
| Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare |
| Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare |
| Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare |
VulDB Punteggio di base: 🔍
VulDB Punteggio temporaneo: 🔍
VulDB Affidabilità: 🔍
Sfruttamento
Classe: Rivelazione di informazioniCWE: CWE-200 / CWE-284 / CWE-266
CAPEC: 🔍
ATT&CK: 🔍
Fisico: No
Locale: No
Remoto: Si
Disponibilità: 🔍
Accesso: Pubblico
Stato: Prova di concetto
Previsione dei prezzi: 🔍
Preventivo attuale: 🔍
| 0-Day | Sbloccare | Sbloccare | Sbloccare | Sbloccare |
|---|---|---|---|---|
| Oggi | Sbloccare | Sbloccare | Sbloccare | Sbloccare |
Intelligence sulle minacce
Interesse: 🔍Attori attivi: 🔍
Gruppi APT attivi: 🔍
Contromisure
Raccomandazione: PatchStato: 🔍
Tempo di reazione: 🔍
Tempo 0 giorni: 🔍
Tempo di esposizione: 🔍
Tempo di ritardo sfruttamento: 🔍
Sequenza temporale
01/11/2012 🔍01/11/2012 🔍
13/03/2013 🔍
25/04/2013 🔍
21/03/2019 🔍
Fonti
Fornitore: sap.comAvis: service.sap.com
Ricercatore: Dmitry Chastuchin
Organizzazione: ERPScan
Stato: Non definito
Coordinato: 🔍
GCVE (VulDB): GCVE-100-8516
OSVDB: 92703
scip Labs: https://www.scip.ch/en/?labs.20150716
Varie: 🔍
Vedi anche: 🔍
Voce
Data di creazione: 25/04/2013 16:42Aggiornato: 21/03/2019 09:37
Cambiamenti: 25/04/2013 16:42 (52), 21/03/2019 09:37 (2)
Completa: 🔍
Cache ID: 216::103
Once again VulDB remains the best source for vulnerability data.
Ancora nessun commento. Lingue: it + ro + en.
Effettua il login per commentare.