CVSS Meta Temp score	Preço de exploração actual (≈)	Nota de Interesse CTI
6.0	$0-$5k	0.06

Uma vulnerabilidade classificada como crítico foi encontrada em Telecommunication Software SAMwin Contact Center Suite 5.1. Afectado é a função passwordScramble na biblioteca SAMwinLIBVB.dll do componente Password Handler. A manipulação com uma entrada desconhecida leva a Fraca autenticação. Usar a CWE para declarar o problema leva à CWE-287. O aconselhamento é partilhado para download em modzero.ch. O vendedor cooperou na coordenação do lançamento público.

A vulnerabilidade é identificada como CVE-2013-10004. Os detalhes técnicos estão disponíveis. A vulnerabilidade não é bem conhecida. Não há nenhuma exploração disponível. O responsável pela vulnerabilidade é o seguinte código:

void function passwordScramble
   n = strlen(pwd)
   pwd = toupper(pwd)
   hashsum = 0
   for (i = 0; i < n; i++) { 
       hashsum += (i+1) * pwd[i];
   }
   return hashsum

O aconselhamento aponta para o seguinte:

The probability that a certain hash value occurs is highly non-uniform (...) It roughly resembles a slightly skewed normal distribution centered around 3700 with a standard deviation of about 450. 90% of all possible password inputs will result in hash values between 3000 and 4500. The odds that a randomly chosen password from the 5.44 * 10^19 possible values will have the exact hash value 3700 is about 1:1138. An attacker is able to exploit this statistical property to speed up a brute-force attack: he constructs a list of password candidates with exactly one password for every possible hash value. Optimally, he guesses candidates from this list in order of descending probability.

É declarado como não definido. A vulnerabilidade foi tratada como uma exploração não pública de dia zero durante pelo menos 174 dias. Como 0 dia, o preço estimado do subsolo foi de cerca de $0-$5k.

A actualização para a versão 6.2 é capaz de abordar esta questão. Recomenda-se a actualização do componente afectado. O parecer contém a seguinte observação:

It is recommended to limit the number of possible password tries for all accounts. The vendor will not provide any fixes for previous versions.

Afetado

• Telecommunication Software SAMwin Contact Center Suite 5.1
• Telecommunication Software SAMwin Agent 5.01.19.06

Produtoinformação

Fabricante

• Telecommunication Software

Nome

• SAMwin Contact Center Suite

Versão

• 5.1

CPE 2.3informação

• 🔍
• 🔍
• 🔍

CPE 2.2informação

• 🔍
• 🔍
• 🔍

CVSSv4informação

VulDB CVSS-B Score: 🔍
VulDB CVSS-BT Score: 🔍
VulDB Vector: 🔍
VulDB Fiabilidade: 🔍

CVSSv3informação

VulDB Meta Pontuação Base: 6.5
VulDB Meta Temp score: 6.0

VulDB Pontuação Base: 6.5
VulDB Pontuação da Tempestade: 6.0
VulDB Vector: 🔍
VulDB Fiabilidade: 🔍

CVSSv2informação

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vector	Complexidade	Autenticação	Confidencialidade	Integridade	Disponibilidade
Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear
Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear
Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear

VulDB Pontuação Base: 🔍
VulDB Pontuação da Tempestade: 🔍
VulDB Fiabilidade: 🔍

Exploraçãoinformação

Classe: Fraca autenticação
CWE: CWE-287
CAPEC: 🔍
ATT&CK: 🔍

Local: Não
Remoto: Sim

Disponibilidade: 🔍
Estado: Não definido

EPSS Score: 🔍
EPSS Percentile: 🔍

Tendência dos preços: 🔍
Estimativa de preço actual: 🔍

0-Day	Desbloquear	Desbloquear	Desbloquear	Desbloquear
Hoje	Desbloquear	Desbloquear	Desbloquear	Desbloquear

Inteligência de Ameaçasinformação

Interesse: 🔍
Actores Activos: 🔍
Grupos APT activos: 🔍

Contra-medidasinformação

Recomendação: Actualização
Estado: 🔍

Tempo 0-Dia: 🔍

Actualização: SAMwin Contact Center Suite 6.2

Linha do tempoinformação

20/09/2013 🔍
24/09/2013 +4 Dias 🔍
13/03/2014 +170 Dias 🔍
03/04/2014 +21 Dias 🔍
24/05/2022 +2973 Dias 🔍

Fontesinformação

Aconselhamento: MZ-13-07
Pessoa: Tobias Ospelt, Max Moser
Empresa: modzero AG
Estado: Não definido
Coordenado: 🔍

CVE: CVE-2013-10004 (🔍)

Entradainformação

Criado em: 03/04/2014 17h21
Actualizado em: 24/05/2022 15h15
Ajustamentos: 03/04/2014 17h21 (53), 31/03/2019 21h58 (1), 24/05/2022 15h15 (3)
Completo: 🔍
Cache ID: 3:FE6:103

Discussão

Do you know our Splunk app?

Download it now for free!