| CVSS 一時的なメタスコア | 現在のエクスプロイト価格 (≈) | CTI注目指数 |
|---|---|---|
| 4.6 | $0-$5k | 0.00 |
問題がある として分類されている脆弱性が X.org X11 5.0 内に見つかりました。 影響を受けるのは、コンポーネント【SUN-DES-1 Handler】の未知の関数です。 未知の値で改ざんすることが、 サービス拒否を突く攻撃に繋がります。 この脆弱性に対応するCWEの定義は CWE-476 です。 このバグは 1991年08月29日で紹介されました。 この脆弱性は 2014年12月09日に IOActiveの Ilja van Sprundelより「Website」の アドバイザリーにて 「Advisory-2014-12-09」として 紹介されました。 アドバイザリーは x.org にてダウンロード用に公開されています。
この脆弱性は CVE-2014-8091 として扱われます。 CVEの割り当ては 2014年10月10日 に行われました。 入手できる技術的詳細情報はありません。 入手できるエクスプロイトツールはありません。 エクスプロイトツールの現在の価格はおそらく米ドルで約$0-$5kです。 特殊な手法を用いるこの脆弱性は、歴史的に衝撃的として記憶されるでしょう。
In servers built with support for SUN-DES-1 (Secure RPC) authentication credentials, an unauthenticated client may be able to crash the X server by sending a connection request specifying values that cause malloc to fail, causing the authentication routines to attempt to write data to the returned NULL pointer. Since the request is limited to an unsigned 16-bit integer for the allocation size, it is unlikely to fail unless the server is severely memory constrained.とアドバイザリーは指摘しています。
脆弱性は、少なくとも 8503 日の間、非公開の0day攻撃ツールとして扱われました。 0dayにはおよそ $0-$5k の価値があったと予想しています。 脆弱性スキャナーNessusはID【80547 (SuSE 11.3 Security Update : xorg-x11-server (SAT Patch Number 10108))】のプラグインを提供しています。不具合の有無をターゲット環境にて判定できます。 これは【SuSE Local Security Checks 】に分類されています。 利用されるポートは 0になります。 商用脆弱性スキャナーQualysではプラグイン【 350232 (Amazon Linux Security Advisory for xorg-x11-server: ALAS-2015-470) 】を使用してこの問題をテストできます。
影響を受けているコンポーネントのアップグレードを推奨します。 考えられる回避策が、すぐにとして脆弱性の公開後公表されました 。
脆弱性は「SecurityFocus (BID 64127), X-Force (99217), Secunia (SA62292), SecurityTracker (ID 1031326) , Vulnerability Center (SBV-51358)」等の脆弱性データベースにも文書化されています。
製品
タイプ
ベンダー
名前
バージョン
ライセンス
CPE 2.3
CPE 2.2
CVSSv4
VulDB CVSS-B Score: 🔍VulDB CVSS-BT Score: 🔍
VulDB 方向性: 🔍
VulDB 信頼性: 🔍
CVSSv3
VulDB ベースメタスコア: 5.3VulDB 一時的なメタスコア: 4.6
VulDB ベーススコア: 5.3
VulDB 一時的なスコア: 4.6
VulDB 方向性: 🔍
VulDB 信頼性: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 方向性 | 複雑度 | 認証 | 守秘義務性 | 誠実性 | 可用性 |
|---|---|---|---|---|---|
| 解除 | 解除 | 解除 | 解除 | 解除 | 解除 |
| 解除 | 解除 | 解除 | 解除 | 解除 | 解除 |
| 解除 | 解除 | 解除 | 解除 | 解除 | 解除 |
VulDB ベーススコア: 🔍
VulDB 一時的なスコア: 🔍
VulDB 信頼性: 🔍
NVD ベーススコア: 🔍
悪用する
クラス: サービス拒否CWE: CWE-476 / CWE-404
ATT&CK: 未知
ローカル: いいえ
リモート: はい
可用性: 🔍
ステータス: 未実証
EPSS Score: 🔍
EPSS Percentile: 🔍
価格予測: 🔍
現在の価格評価: 🔍
| 0-Day | 解除 | 解除 | 解除 | 解除 |
|---|---|---|---|---|
| 本日 | 解除 | 解除 | 解除 | 解除 |
Nessus ID: 80547
Nessus 名前: SuSE 11.3 Security Update : xorg-x11-server (SAT Patch Number 10108)
Nessus ファイル: 🔍
Nessus リスク: 🔍
Nessus ファミリー: 🔍
Nessus Port: 🔍
OpenVAS ID: 703095
OpenVAS 名前: Debian Security Advisory DSA 3095-1 (xorg-server - security update)
OpenVAS ファイル: 🔍
OpenVAS ファミリー: 🔍
Qualys ID: 🔍
Qualys 名前: 🔍
脅威インテリジェンス
関心: 🔍アクティブ アクター: 🔍
アクティブな APT グループ: 🔍
対策
推奨: アップグレードステータス: 🔍
リアクション時間: 🔍
0day日時: 🔍
暴露日時: 🔍
タイムライン
1991年08月29日 🔍2013年12月06日 🔍
2014年10月10日 🔍
2014年12月09日 🔍
2014年12月09日 🔍
2014年12月10日 🔍
2014年12月10日 🔍
2014年12月11日 🔍
2015年01月15日 🔍
2015年07月14日 🔍
2015年07月16日 🔍
2022年02月28日 🔍
ソース
ベンダー: x.orgアドバイザリー: Advisory-2014-12-09
調査者: Ilja van Sprundel
組織: IOActive
ステータス: 確認済み
確認: 🔍
CVE: CVE-2014-8091 (🔍)
OVAL: 🔍
X-Force: 99217 - X server NULL pointer denial of service, Medium Risk
SecurityTracker: 1031326 - X Multiple Memory Corruption Flaws Let Remote Users Deny Service and Execute Arbitrary Code
Vulnerability Center: 51358 - X.Org X Window System (X11) X11R5 and X.Org Server <1.16.3 Remote DoS via a Crafted Request - CVE-2014-8091, Medium
SecurityFocus: 64127 - X.Org X Server CVE-2013-6424 Local Denial of Service Vulnerability
Secunia: 62292
その他: 🔍
関連情報: : 🔍
エントリ
作成済み: 2014年12月11日 09:23更新済み: 2022年02月28日 02:43
変更: 2014年12月11日 09:23 (87), 2017年07月13日 10:39 (5), 2022年02月28日 02:35 (3), 2022年02月28日 02:43 (1)
完了: 🔍
コメントはまだありません。 言語: ja + en.
コメントするにはログインしてください。