VDB-13005 · CVE-2014-0984 · CORE-2014-0003

SAP SAProuter até 721 Patch Level 117 Password Authentication passwordCheck Elevação de Privilégios

CVSS Meta Pontuação Temporária	Preço atual do exploit (≈)	Nota de Interesse CTI
5.9	$0-$5k	0.00

Sumárioinformação

Uma vulnerabilidade, que foi classificada como crítico, foi encontrada em SAP SAProuter até 721 Patch Level 117. Afetado é a função passwordCheck do componente Password Authentication. O tratamento leva a Elevação de Privilégios. Esta vulnerabilidade é conhecida como CVE-2014-0984. Além disso, existe um exploit disponível. Recomenda-se aplicar um patch para corrigir este problema.

Detalhesinformação

Uma vulnerabilidade, que foi classificada como crítico, foi encontrada em SAP SAProuter até 721 Patch Level 117. Afetado é a função passwordCheck do componente Password Authentication. O tratamento leva a Elevação de Privilégios. Usar a CWE para declarar o problema leva à CWE-264. O problema foi divulgado 15/04/2014 por Martin Gallo com Core Security Consulting Services como CORE-2014-0003 como Aconselhamento (Site). O comunicado está disponível para download em coresecurity.com. A divulgação pública foi coordenada com o vendedor.

Esta vulnerabilidade é conhecida como CVE-2014-0984. A atribuição do CVE ocorreu em 07/01/2014. Detalhes técnicos estão disponíveis. A popularidade desta vulnerabilidade está abaixo da média. Além disso, existe um exploit disponível. O exploit foi divulgado ao público e pode ser utilizado. No momento, o preço atual de um exploit pode estar em torno de USD $0-$5k atualmente. O projeto MITRE ATT&CK identifica a técnica de ataque como T1068. A razão para esta vulnerabilidade é esta parte do código:

.text:0000000140005BE0 loc_140005BE0:                          ; CODE XREF: passwordCheck+191j
.text:0000000140005BE0                 movzx   ecx, byte ptr [rdi] ; rdi points to the routtab password
.text:0000000140005BE3                 movzx   eax, byte ptr [rdi+rsi] ; rdi+rsi points to the user-supplied password
.text:0000000140005BE7                 sub     ecx, eax
.text:0000000140005BE9                 jnz     short loc_140005BF3 ; password check failed
.text:0000000140005BEB                 add     rdi, 1
.text:0000000140005BEF                 test    eax, eax
.text:0000000140005BF1                 jnz     short loc_140005BE0
.text:0000000140005BF3
.text:0000000140005BF3 loc_140005BF3:                          ; CODE XREF: passwordCheck+189j
.text:0000000140005BF3                 test    ecx, ecx
.text:0000000140005BF5                 jz      short loc_140005C3F
.text:0000000140005BF7                 cmp     cs:trace_level, 1
.text:0000000140005BFE                 jl      short loc_140005C38
.text:0000000140005C00                 call    DpLock
.text:0000000140005C05                 mov     rcx, cs:qword_140273BC0
.text:0000000140005C0C                 lea     r8, aPasswordcheck ; "passwordCheck"
.text:0000000140005C13                 lea     rdx, aSPasswordCheck ; "%s: password check failed\n"
.text:0000000140005C1A                 mov     cs:dword_1401ADAA4, 1
.text:0000000140005C24                 call    DpTrace
.text:0000000140005C29
.text:0000000140005C29 loc_140005C29:                          ; CODE XREF: passwordCheck+16Fj
.text:0000000140005C29                 mov     cs:dword_1401ADAA4, 2
.text:0000000140005C33                 call    DpUnlock
.text:0000000140005C38
.text:0000000140005C38 loc_140005C38:                          ; CODE XREF: passwordCheck+135j
.text:0000000140005C38                                         ; passwordCheck+19Ej
.text:0000000140005C38                 mov     eax, 0FFFFFFA2h
.text:0000000140005C3D                 jmp     short loc_140005C41
.text:0000000140005C3F ; ---------------------------------------------------------------------------
.text:0000000140005C3F
.text:0000000140005C3F loc_140005C3F:                          ; CODE XREF: passwordCheck+12Cj
.text:0000000140005C3F                                         ; passwordCheck+174j ...
.text:0000000140005C3F                 xor     eax, eax        ; password check succeeded

O comunicado destaca:

SAP Router permits and/or forbids networks connections based on a Route Permission Table. Entries in the Route Permission Table can have a password. If a password is specified for a given entry in the Route Permission Table, SAP Router checks whether the user-supplied password matches with the one in the Route Permission Table entry before permitting a connection. The vulnerable function passwordCheck performs a non-constant time string comparison for checking the user-supplied password against the on in the Route Permission Table. On the first non-matched character, the string comparison function immediately interrupts the evaluation cycle, which may let an attacker perform timing attacks.

Está declarado como prova de conceito. A exploração é partilhada para download em coresecurity.com. A vulnerabilidade ficou classificada como zero-day não pública por no mínimo 46 dias. Como 0-day, o valor estimado no submundo era aproximadamente $5k-$25k. O código usado pelo exploit é:

def try_password(options, password, output=None, k=0):
 
    p = SAPRouter(type=SAPRouter.SAPROUTER_ADMIN, version=options.router_version)
    p.adm_command = 2
    p.adm_password = password
    p = str(SAPNI() / p)
 
    fau_timer.init()
    fau_timer.send_request(options.remote_host, options.remote_port, p, len(p))
    fau_timer.calculate_time()
    cpuSpeed = fau_timer.get_speed()
    cpuTicks = fau_timer.get_cpu_ticks()
    time = fau_timer.get_time()
 
    if options.verbose:
        print "Request time: CPU Speed: %s Hz CPU Ticks: %s Time: %s nanosec" % (cpuSpeed, cpuTicks, time)
 
    # Write the time to the output file
    if output:
        output.write("%i,%s,%s\n" % (k, password, time))
 
    return time

O nome da correção é SAP Note 1986895. A correção está pronta para download em service.sap.com. Recomenda-se aplicar um patch para corrigir este problema.

A vulnerabilidade está também documentada noutras bases de dados de vulnerabilidade: Secunia (SA57993).

Afetado

SAP Router release 721 Patch Level 117
SAP Router release 720 Patch Level 411
SAP Router release 710 Patch Level 029

Produtoinformação

Tipo

Router Operating System

Fabricante

Nome

SAProuter

Versão

721 Patch Level 117

Licença

comercial

Site

Fabricante: https://www.sap.com/

CPE 2.3informação

CPE 2.2informação

CVSSv4informação

VulDB Vetor: 🔍
VulDB Fiabilidade: 🔍

CVSSv3informação

VulDB Meta Pontuação Base: 6.5
VulDB Meta Pontuação Temporária: 5.9

VulDB Pontuação Base: 6.5
VulDB Pontuação Temporária: 5.9
VulDB Vetor: 🔍
VulDB Fiabilidade: 🔍

CVSSv2informação

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vector	Complexidade	Autenticação	Confidencialidade	Integridade	Disponibilidade
Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear
Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear
Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear

VulDB Pontuação Base: 🔍
VulDB Pontuação Temporária: 🔍
VulDB Fiabilidade: 🔍

NVD Pontuação Base: 🔍

Exploraçãoinformação

Classe: Elevação de Privilégios
CWE: CWE-264
CAPEC: 🔍
ATT&CK: 🔍

Físico: Não
Local: Não
Remoto: Sim

Disponibilidade: 🔍
Acesso: Público
Estado: Prova de conceito
Autor: Martin Gallo
Linguagem de programação: 🔍
Descarregar: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

Tendência de preços: 🔍
Estimativa de preço atual: 🔍

0-Day	Desbloquear	Desbloquear	Desbloquear	Desbloquear
Hoje	Desbloquear	Desbloquear	Desbloquear	Desbloquear

Exploit-DB: 🔍

Inteligência de ameaçasinformação

Interesse: 🔍
Atores ativos: 🔍
Grupos APT ativos: 🔍

Contramedidasinformação

Recomendação: Patch
Estado: 🔍

Tempo de resposta: 🔍
Tempo 0-dia: 🔍
Tempo de atraso de exploração: 🔍

Patch: SAP Note 1986895

Linha do tempoinformação

07/01/2014 🔍
20/02/2014 +44 dias 🔍
20/02/2014 +0 dias 🔍
07/04/2014 +46 dias 🔍
15/04/2014 +8 dias 🔍
15/04/2014 +0 dias 🔍
16/04/2014 +1 dias 🔍
17/04/2014 +1 dias 🔍
17/04/2014 +0 dias 🔍
11/05/2026 +4407 dias 🔍

Fontesinformação

Fabricante: sap.com

Aconselhamento: CORE-2014-0003
Pessoa: Martin Gallo
Empresa: Core Security Consulting Services
Estado: Confirmado
Confirmação: 🔍
Coordenado: 🔍

CVE: CVE-2014-0984 (🔍)
GCVE (CVE): GCVE-0-2014-0984
GCVE (VulDB): GCVE-100-13005
Secunia: 57993 - SAProuter Password Timing Attack Weakness, Not Critical

scip Labs: https://www.scip.ch/en/?labs.20150716
Veja também: 🔍

Entradainformação

Criado: 17/04/2014 14h22
Atualizado: 11/05/2026 06h37
Ajustamentos: 17/04/2014 14h22 (80), 01/04/2019 14h26 (1), 15/08/2024 13h47 (16), 11/05/2026 06h37 (4)
Completo: 🔍
Cache ID: 216::103

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Discussão

Ainda sem comentários. Idiomas: pt + es + en.

Por favor, inicie sessão para comentar.

◂ Voltar Visão Geral Próximo ▸

Interested in the pricing of exploits?

See the underground prices here!