| CVSS 一時的なメタスコア | 現在のエクスプロイト価格 (≈) | CTI注目指数 |
|---|---|---|
| 4.7 | $0-$5k | 0.00 |
要約
このたび、TYPO3 迄 4.5.33/4.7.18/6.0.13/6.1.8において、問題があるに分類される脆弱性が見つかりました。 対象となるのは 不明な関数 コンポーネントColor Picker Wizardのです。 引数の操作が、 特権昇格をもたらします。 この脆弱性はCVE-2014-3942という名称で流通しています。 影響コンポーネントのアップグレードを推奨します。
詳細
このたび、TYPO3 迄 4.5.33/4.7.18/6.0.13/6.1.8において、問題があるに分類される脆弱性が見つかりました。 対象となるのは 不明な関数 コンポーネントColor Picker Wizardのです。 引数の操作が、 特権昇格をもたらします。 この脆弱性に対応するCWEの定義は CWE-94 です。 この弱点は 2014年05月22日に発表されました 、Helmut Hummelによって 、TYPO3-CORE-SA-2014-001として 、勧告として （ウェブサイト）。 アドバイザリーは typo3.org で共有されています。
この脆弱性はCVE-2014-3942という名称で流通しています。 CVEが2014年06月03日に割り当てられました。 テクニカルな情報はありません。 この脆弱性の一般的な利用度は平均を下回っています。 今のところ、エクスプロイトの価格はおよそUSD $0-$5kと推定されます。 MITRE ATT&CKプロジェクトは、攻撃手法を T1059 と定義しています。 本アドバイザリによると、次の通りです：
Failing to validate authenticity of a passed serialized string, the color picker wizard is susceptible to insecure unserialize, allowing authenticated editors to unserialize arbitrary PHP objects.
0-dayの場合、推定されるアンダーグラウンドでの価格は約$25k-$100kでした。 脆弱性スキャナーNessusは、IDが76135のプラグインを提供します。 これは分類【SuSE Local Security Checks 】に割り振られています。 プラグインはlのコンテキストで実行されています。 商用脆弱性スキャナーQualysではプラグイン【 167030 (OpenSuSE Security Update for typo3-cms-4_5 (openSUSE-SU-2014:0813-1)) 】を使用してこの問題をテストできます。
バージョン4.5.34, 4.7.19, 6.0.14 , 6.1.9にアップグレードすることで、この問題に対処できます。 影響コンポーネントのアップグレードを推奨します。 脆弱性の公開後、すぐに 経過してから対策が公開されました。
他の脆弱性データベースにも記載されている脆弱性です: SecurityFocus (BID 67630), X-Force (93468), Secunia (SA58901) , Tenable (76135).
影響なし
- TYPO3 6.2
製品
タイプ
名前
バージョン
- 4.5.0
- 4.5.1
- 4.5.2
- 4.5.3
- 4.5.4
- 4.5.5
- 4.5.6
- 4.5.7
- 4.5.8
- 4.5.9
- 4.5.10
- 4.5.11
- 4.5.12
- 4.5.13
- 4.5.14
- 4.5.15
- 4.5.16
- 4.5.17
- 4.5.18
- 4.5.19
- 4.5.20
- 4.5.21
- 4.5.22
- 4.5.23
- 4.5.24
- 4.5.25
- 4.5.26
- 4.5.27
- 4.5.28
- 4.5.29
- 4.5.30
- 4.5.31
- 4.5.32
- 4.5.33
- 4.7.0
- 4.7.1
- 4.7.2
- 4.7.3
- 4.7.4
- 4.7.5
- 4.7.6
- 4.7.7
- 4.7.8
- 4.7.9
- 4.7.10
- 4.7.11
- 4.7.12
- 4.7.13
- 4.7.14
- 4.7.15
- 4.7.16
- 4.7.17
- 4.7.18
- 6.0.0
- 6.0.1
- 6.0.2
- 6.0.3
- 6.0.4
- 6.0.5
- 6.0.6
- 6.0.7
- 6.0.8
- 6.0.9
- 6.0.10
- 6.0.11
- 6.0.12
- 6.0.13
- 6.1.0
- 6.1.1
- 6.1.2
- 6.1.3
- 6.1.4
- 6.1.5
- 6.1.6
- 6.1.7
- 6.1.8
ライセンス
ウェブサイト
CPE 2.3
CPE 2.2
CVSSv4
VulDB ベクトル: 🔍VulDB 信頼性: 🔍
CVSSv3
VulDB ベースメタスコア: 5.4VulDB 一時的なメタスコア: 4.7
VulDB ベーススコア: 5.4
VulDB 一時的なスコア: 4.7
VulDB ベクトル: 🔍
VulDB 信頼性: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| ベクトル | 複雑さ | 認証 | 機密性 | 完全性 | 可用性 |
|---|---|---|---|---|---|
| 解除 | 解除 | 解除 | 解除 | 解除 | 解除 |
| 解除 | 解除 | 解除 | 解除 | 解除 | 解除 |
| 解除 | 解除 | 解除 | 解除 | 解除 | 解除 |
VulDB ベーススコア: 🔍
VulDB 一時的なスコア: 🔍
VulDB 信頼性: 🔍
NVD ベーススコア: 🔍
悪用
クラス: 特権昇格CWE: CWE-94 / CWE-74 / CWE-707
CAPEC: 🔍
ATT&CK: 🔍
物理的: いいえ
ローカル: いいえ
リモート: はい
可用性: 🔍
ステータス: 未実証
EPSS Score: 🔍
EPSS Percentile: 🔍
価格予測: 🔍
現在の価格評価: 🔍
| 0-Day | 解除 | 解除 | 解除 | 解除 |
|---|---|---|---|---|
| 本日 | 解除 | 解除 | 解除 | 解除 |
Nessus ID: 76135
Nessus 名前: openSUSE Security Update : typo3-cms-4_5 (openSUSE-SU-2014:0813-1)
Nessus ファイル: 🔍
Nessus リスク: 🔍
Nessus ファミリー: 🔍
Nessus Context: 🔍
OpenVAS ID: 100641
OpenVAS 名前: TYPO3 Color Picker Wizard Remote PHP Code Execution Vulnerability
OpenVAS ファイル: 🔍
OpenVAS ファミリー: 🔍
Qualys ID: 🔍
Qualys 名前: 🔍
脅威インテリジェンス
関心: 🔍アクティブアクター: 🔍
アクティブなAPTグループ: 🔍
対策
推奨: アップグレードステータス: 🔍
リアクション時間: 🔍
0day日時: 🔍
暴露時間: 🔍
アップグレード: TYPO3 4.5.34/4.7.19/6.0.14/6.1.9
タイムライン
2014年05月22日 🔍2014年05月22日 🔍
2014年05月22日 🔍
2014年05月23日 🔍
2014年05月23日 🔍
2014年06月03日 🔍
2014年06月03日 🔍
2014年06月19日 🔍
2019年04月02日 🔍
ソース
製品: typo3.org勧告: TYPO3-CORE-SA-2014-001
調査者: Helmut Hummel
ステータス: 確認済み
確認: 🔍
CVE: CVE-2014-3942 (🔍)
GCVE (CVE): GCVE-0-2014-3942
GCVE (VulDB): GCVE-100-13342
X-Force: 93468 - TYPO3 Color Picker Wizard subcomponent code execution, High Risk
SecurityFocus: 67630 - TYPO3 Unspecified PHP Object Injection Vulnerability
Secunia: 58901 - TYPO3 Multiple Vulnerabilities, Moderately Critical
関連情報: 🔍
エントリ
作成済み: 2014年05月23日 16:09更新済み: 2019年04月02日 16:15
変更: 2014年05月23日 16:09 (79), 2019年04月02日 16:15 (4)
完了: 🔍
Cache ID: 216:B93:103
コメントはまだありません。 言語: ja + en.
コメントするにはログインしてください。