MobileIron Virtual Smartphone Platform até 5.9.0 j_spring_security_check j_username Divulgação de Informação

CVSS Meta Pontuação TemporáriaPreço atual do exploit (≈)Nota de Interesse CTI
6.8$0-$5k0.00

Sumárioinformação

Detectou-se uma vulnerabilidade classificada como crítico em MobileIron Virtual Smartphone Platform até 5.9.0. Afetado é uma função desconhecida do arquivo /mics/j_spring_security_check. A manipulação do argumento j_username resulta em Divulgação de Informação. Esta vulnerabilidade é conhecida como CVE-2014-1409. Não existe exploit disponível. Recomenda-se atualizar o componente afetado.

Detalhesinformação

Detectou-se uma vulnerabilidade classificada como crítico em MobileIron Virtual Smartphone Platform até 5.9.0. Afetado é uma função desconhecida do arquivo /mics/j_spring_security_check. A manipulação do argumento j_username resulta em Divulgação de Informação. Ao utilizar CWE para declarar o problema, isso direciona para CWE-200. A falha foi descoberta em 19/12/2013. Esta vulnerabilidade foi publicada 02/04/2014 por Nico Leidecker com Matta Consulting como MATTA-2013-004 como Aconselhamento (Site). O comunicado está disponível para download em trustmatta.com. A publicação pública foi feita em coordenação com o fornecedor.

Esta vulnerabilidade é conhecida como CVE-2014-1409. A atribuição do CVE ocorreu em 10/01/2014. Detalhes técnicos estão disponíveis. A popularidade desta vulnerabilidade está abaixo da média. Não existe exploit disponível. No momento, o preço atual de um exploit pode estar em torno de USD $0-$5k atualmente. Esta vulnerabilidade é atribuída a T1592 pelo projecto MITRE ATT&CK. O comunicado destaca:

The 'j_username' parameter of the script at https://<target>/mics/j_spring_security_check is vulnerable to blind XPath Injection, allowing an unauthenticated attacker to retrieve the underlying XML document. This XML document is an excerpt of the configuration file of the device. It contains obfuscated passwords and, depending on configuration, might contain domain credentials and allow the attacker to reposition both internally and on any of the attached devices.

A vulnerabilidade ficou classificada como zero-day não pública por no mínimo 62 dias. Como 0-day, o preço estimado no mercado clandestino era em torno de $0-$5k.

A atualização para a versão 5.9.1 é capaz de corrigir esta questão. Recomenda-se atualizar o componente afetado.

A vulnerabilidade está também documentada noutras bases de dados de vulnerabilidade: SecurityFocus (BID 66595) e X-Force (92351).

Afetado

  • MobileIron MobileIron Sentry até 4.9
  • MobileIron Virtual Smartphone Platform até 5.9.0

Produtoinformação

Tipo

Fabricante

Nome

Versão

CPE 2.3informação

CPE 2.2informação

CVSSv4informação

VulDB Vetor: 🔍
VulDB Fiabilidade: 🔍

CVSSv3informação

VulDB Meta Pontuação Base: 7.8
VulDB Meta Pontuação Temporária: 7.4

VulDB Pontuação Base: 6.5
VulDB Pontuação Temporária: 5.7
VulDB Vetor: 🔍
VulDB Fiabilidade: 🔍

NVD Pontuação Base: 9.1
NVD Vetor: 🔍

CVSSv2informação

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VectorComplexidadeAutenticaçãoConfidencialidadeIntegridadeDisponibilidade
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear

VulDB Pontuação Base: 🔍
VulDB Pontuação Temporária: 🔍
VulDB Fiabilidade: 🔍

NVD Pontuação Base: 🔍

Exploraçãoinformação

Classe: Divulgação de Informação
CWE: CWE-200 / CWE-284 / CWE-266
CAPEC: 🔍
ATT&CK: 🔍

Físico: Não
Local: Não
Remoto: Sim

Disponibilidade: 🔍
Estado: Não provado

EPSS Score: 🔍
EPSS Percentile: 🔍

Tendência de preços: 🔍
Estimativa de preço atual: 🔍

0-DayDesbloquearDesbloquearDesbloquearDesbloquear
HojeDesbloquearDesbloquearDesbloquearDesbloquear

Inteligência de ameaçasinformação

Interesse: 🔍
Atores ativos: 🔍
Grupos APT ativos: 🔍

Contramedidasinformação

Recomendação: Atualização
Estado: 🔍

Tempo de resposta: 🔍
Tempo 0-dia: 🔍

Atualização: Virtual Smartphone Platform 5.9.1

Linha do tempoinformação

19/12/2013 🔍
30/12/2013 +11 dias 🔍
30/12/2013 +0 dias 🔍
10/01/2014 +11 dias 🔍
19/02/2014 +40 dias 🔍
02/04/2014 +42 dias 🔍
02/04/2014 +0 dias 🔍
09/04/2014 +7 dias 🔍
16/06/2021 +2625 dias 🔍

Fontesinformação

Aconselhamento: MATTA-2013-004
Pessoa: Nico Leidecker
Empresa: Matta Consulting
Estado: Confirmado
Coordenado: 🔍

CVE: CVE-2014-1409 (🔍)
GCVE (CVE): GCVE-0-2014-1409
GCVE (VulDB): GCVE-100-12840
X-Force: 92351 - MobileIron VSP and Sentry XPath injection, Medium Risk
SecurityFocus: 66595 - MobileIron VSP and Sentry 'j_username' Parameter XPath Injection Weakness

Vários: 🔍
Veja também: 🔍

Entradainformação

Criado: 09/04/2014 11h49
Atualizado: 16/06/2021 16h53
Ajustamentos: 09/04/2014 11h49 (58), 01/04/2019 10h15 (10), 16/06/2021 16h45 (2), 16/06/2021 16h53 (18)
Completo: 🔍
Cache ID: 216::103

VulDB is the best source for vulnerability data and more expert information about this specific topic.

Discussão

Ainda sem comentários. Idiomas: pt + es + en.

Por favor, inicie sessão para comentar.

◂ VoltarVisão GeralPróximo ▸

Do you need the next level of professionalism?

Upgrade your account now!