CVSS Meta Temp score	Preço de exploração actual (≈)	Nota de Interesse CTI
5.7	$0-$5k	0.05

Uma vulnerabilidade, que foi classificada como problemático, foi encontrada em Tripwire Enterprise 7.0/8.2. Afectado é uma função desconhecida do ficheiro ajaxRequest/methodCall.do. A manipulação do argumento m_target_class_name com uma entrada desconhecida leva a Roteiro Cruzado de Sítios. A definição de CWE para a vulnerabilidade é CWE-79. O aconselhamento é partilhado para download em zerodaylab.com.

A vulnerabilidade é identificada como CVE-2013-5005. A atribuição do CVE aconteceu em 29/07/2013. O ataque pode ser levado a cabo através da rede. Os detalhes técnicos estão disponíveis. A vulnerabilidade não é bem conhecida. Além disso, há uma exploração disponível. A exploração foi divulgada ao público e pode ser utilizada. A técnica de ataque utilizada por esta edição é T1059.007 de acordo com MITRE ATT&CK.

É declarado como proof-of-concept. A exploração está disponível em zerodaylab.com. Esperamos que o dia 0 tenha valido aproximadamente $0-$5k. O aconselhamento aponta para o seguinte:

Injecting in the afore-mentioned parameters will throw an exception (along with an HTTP/403 Forbidden error message from the server). The output of the exception is not sanitised properly and the javascript code is executed. (…) The original requests used the POST method, however it was possible to convert the requests to use the GET method, to enable easier demonstration and delivery of the attack.

A actualização para a versão 8.3 é capaz de abordar esta questão. A versão actualizada está pronta para ser descarregada em tripwire.com. Recomenda-se a actualização do componente afectado.

A vulnerabilidade está também documentada noutras bases de dados de vulnerabilidade: SecurityFocus (BID 65242) e X-Force (90950).

Produtoinformação

Fabricante

• Tripwire

Nome

• Enterprise

Versão

• 7.0
• 8.2

CPE 2.3informação

• 🔍
• 🔍
• 🔍

CPE 2.2informação

• 🔍
• 🔍
• 🔍

CVSSv4informação

VulDB CVSS-B Score: 🔍
VulDB CVSS-BT Score: 🔍
VulDB Vector: 🔍
VulDB Fiabilidade: 🔍

CVSSv3informação

VulDB Meta Pontuação Base: 6.3
VulDB Meta Temp score: 5.7

VulDB Pontuação Base: 6.3
VulDB Pontuação da Tempestade: 5.7
VulDB Vector: 🔍
VulDB Fiabilidade: 🔍

CVSSv2informação

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vector	Complexidade	Autenticação	Confidencialidade	Integridade	Disponibilidade
Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear
Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear
Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear

VulDB Pontuação Base: 🔍
VulDB Pontuação da Tempestade: 🔍
VulDB Fiabilidade: 🔍

NVD Pontuação Base: 🔍

Exploraçãoinformação

Nome: Reflected
Classe: Roteiro Cruzado de Sítios / Reflected
CWE: CWE-79 / CWE-74 / CWE-707
CAPEC: 🔍
ATT&CK: 🔍

Local: Não
Remoto: Sim

Disponibilidade: 🔍
Aceda a: Público
Estado: Proof-of-Concept
Autor: Roger Sels
Linguagem de programação: 🔍
Descarregar: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

Tendência dos preços: 🔍
Estimativa de preço actual: 🔍

0-Day	Desbloquear	Desbloquear	Desbloquear	Desbloquear
Hoje	Desbloquear	Desbloquear	Desbloquear	Desbloquear

Inteligência de Ameaçasinformação

Interesse: 🔍
Actores Activos: 🔍
Grupos APT activos: 🔍

Contra-medidasinformação

Recomendação: Actualização
Estado: 🔍

Tempo de resposta: 🔍
Tempo 0-Dia: 🔍
Tempo de Exposição: 🔍
Tempo de atraso de exploração: 🔍

Actualização: Enterprise 8.3

Linha do tempoinformação

29/07/2013 🔍
12/09/2013 +45 Dias 🔍
12/09/2013 +0 Dias 🔍
12/09/2013 +0 Dias 🔍
29/01/2014 +138 Dias 🔍
29/01/2014 +0 Dias 🔍
31/01/2014 +2 Dias 🔍
08/06/2021 +2685 Dias 🔍

Fontesinformação

Aconselhamento: 2013-5005
Pessoa: Roger Sels
Empresa: ZeroDayLab
Estado: Confirmado

CVE: CVE-2013-5005 (🔍)
X-Force: 90950 - Tripwire Enterprise methodCall.do cross-site scripting
SecurityFocus: 65242
OSVDB: 102682

scip Labs: https://www.scip.ch/en/?labs.20161013

Entradainformação

Criado em: 31/01/2014 16h07
Actualizado em: 08/06/2021 22h10
Ajustamentos: 31/01/2014 16h07 (64), 17/05/2018 08h40 (6), 08/06/2021 22h10 (4)
Completo: 🔍

Discussão

Might our Artificial Intelligence support you?

Check our Alexa App!