CVSS Meta Temp Score	Текущая цена эксплуатации (≈)	Балл интереса CTI
5.6	$0-$5k	0.11

В критический обнаружена уязвимость, классифицированная как Telecommunication Software SAMwin Contact Center Suite 5.1. Затронута функция getCurrentDBVersion в библиотеке SAMwinLIBVB.dll компонента Database Handler. Определение CWE для уязвимости следующее CWE-89. Консультация представлена на сайте modzero.ch. Публичный релиз был скоординирован в сотрудничестве с поставщиком.

Эта уязвимость однозначно идентифицируется как CVE-2013-10003. Атака может быть осуществлена удаленно. Имеются технические подробности. Популярность этой уязвимости ниже среднего. Более того, существует эксплойт. Эксплойт был раскрыт общественности и может быть использован. Текущая цена за эксплойт может составлять около USD $0-$5k в настоящее время. Проект MITRE ATT&CK использует технику атаки T1505 для этой проблемы. Консультация указывает:

Due to the absence of any middleware sanitizing and verifying input data send by the SAMwin Agent, arbitrary SQL commands can be executed from the username field of the SAMwin Agent login mask. When a SAMwin Agent user logs in, the username and password will be compared against values that are stored in the database. By terminating the username with a single quote character, any person with access to the SAMwin Agent login form can execute malicious SQL statements. For example, the following string can be used as username to verify the SQL command execution on the SQL server.

Объявляется proof-of-concept. Эксплойт доступен для загрузки на сайте modzero.ch. Уязвимость обрабатывалась как непубличный эксплойт нулевого дня в течение как минимум 174 дней. Мы ожидаем, что 0-день стоил приблизительно $0-$5k.

Обновление до версии 6.2 способно решить эту проблему. Рекомендуется обновить затронутый компонент.

Затронуто

• Telecommunication Software SAMwin Contact Center Suite 5.1
• Telecommunication Software SAMwin Agent 5.01.19.06

ПродуктИнформация

Поставщик

• Telecommunication Software

Имя

• SAMwin Contact Center Suite

Версия

• 5.1

CPE 2.3Информация

• 🔍
• 🔍
• 🔍

CPE 2.2Информация

• 🔍
• 🔍
• 🔍

CVSSv4Информация

VulDB CVSS-B Score: 🔍
VulDB CVSS-BT Score: 🔍
VulDB Вектор: 🔍
VulDB Надежность: 🔍

CVSSv3Информация

VulDB Meta Base Score: 6.5
VulDB Meta Temp Score: 5.6

VulDB Базовый балл: 6.5
VulDB Временная оценка: 5.6
VulDB Вектор: 🔍
VulDB Надежность: 🔍

CVSSv2Информация

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Вектор	Сложность	Аутентификация	Конфиденциальность	Целостность	Доступность
разблокировать	разблокировать	разблокировать	разблокировать	разблокировать	разблокировать
разблокировать	разблокировать	разблокировать	разблокировать	разблокировать	разблокировать
разблокировать	разблокировать	разблокировать	разблокировать	разблокировать	разблокировать

VulDB Базовый балл: 🔍
VulDB Временная оценка: 🔍
VulDB Надежность: 🔍

ЭксплуатацияИнформация

Класс: Sql-инъекция
CWE: CWE-89 / CWE-74 / CWE-707
CAPEC: 🔍
ATT&CK: 🔍

Локальный: Нет
Удаленный: Да

Доступность: 🔍
Доступ: публичный
Статус: Proof-of-Concept
Автор: Tobias Ospelt/Max Moser
Язык программирования: 🔍
Скачать: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

Прогнозирование цены: 🔍
Оценка текущей цены: 🔍

0-Day	разблокировать	разблокировать	разблокировать	разблокировать
Сегодня	разблокировать	разблокировать	разблокировать	разблокировать

Разведка угрозИнформация

Интерес: 🔍
Активные акторы: 🔍
Активные группы APT: 🔍

КонтрмерыИнформация

Рекомендуется: Обновление
Статус: 🔍

0-дневное время: 🔍
Время задержки эксплойта: 🔍

Обновление: SAMwin Contact Center Suite 6.2

Временная шкалаИнформация

20.09.2013 🔍
24.09.2013 +4 дни 🔍
13.03.2014 +170 дни 🔍
13.03.2014 +0 дни 🔍
03.04.2014 +21 дни 🔍
24.05.2022 +2973 дни 🔍

ИсточникиИнформация

Консультация: MZ-13-06
Исследователь: Tobias Ospelt, Max Moser
Организация: modzero AG
Статус: Не определено
Скоординированный: 🔍

CVE: CVE-2013-10003 (🔍)
Смотрите также: 🔍

ВходИнформация

Создано: 03.04.2014 17:21
Обновлено: 24.05.2022 15:14
Изменения: 03.04.2014 17:21 (57), 31.03.2019 22:05 (1), 24.05.2022 15:14 (3)
Завершить: 🔍
Cache ID: 3:BD4:103

Обсуждение

Want to stay up to date on a daily basis?

Enable the mail alert feature now!