Mozilla Network Security Services до 3.14.1 Domain Name Wildcard эскалация привилегий

CVSS Meta Temp ScoreТекущая цена эксплойта (≈)Балл интереса CTI
4.6$0-$5k0.00

СводкаИнформация

Уязвимость была найдена в Mozilla Network Security Services до 3.14.1. Она была объявлена как проблематичный. Используемая неизвестная функция компонента Domain Name Handler. Выполнение манипуляции в составе Wildcard приводит к эскалация привилегий. Выявление этой уязвимости является CVE-2014-1492. Эксплойт недоступен. Рекомендуется выполнить обновление уязвимого компонента.

ПодробностиИнформация

Уязвимость была найдена в Mozilla Network Security Services до 3.14.1. Она была объявлена как проблематичный. Используемая неизвестная функция компонента Domain Name Handler. Выполнение манипуляции в составе Wildcard приводит к эскалация привилегий. Указание проблемы через CWE ведет к CWE-20. Данная уязвимость была опубликована 18.03.2014 исследователем Christian Heimes при поддержке Mozilla с идентификатором Bug 903885 в виде Bug Report (Bugzilla). Уведомление опубликовано для скачивания на bugzilla.mozilla.org. Поставщик был вовлечен в процесс раскрытия уязвимости.

Выявление этой уязвимости является CVE-2014-1492. Присвоение CVE было выполнено 16.01.2014. Технические детали недоступны. Данная уязвимость менее популярна, чем в среднем. Эксплойт недоступен. Текущая цена за эксплойт может составлять около USD $0-$5k в настоящее время.

В качестве 0-day ориентировочная цена на подпольном рынке составляла около $5k-$25k. Сканер уязвимостей Nessus предоставляет плагин с ID 75346 (openSUSE Security Update : MozillaFirefox (openSUSE-SU-2014:0599-1)), который помогает определить наличие изъяна в целевой среде. Ему присвоено семейство SuSE Local Security Checks. Данный плагин работает в контексте типа l. Зависит от порта 0. Коммерческий сканер уязвимостей Qualys способен проверить эту проблему с помощью плагина 123080 (Solaris NSS Multiple Vulnerabilities).

Обновление до версии 3.16 способно решить эту проблему. Обновленную версию можно скачать по адресу ftp.mozilla.org. Рекомендуется выполнить обновление уязвимого компонента.

Информация об уязвимости также содержится в других базах данных уязвимостей: SecurityFocus (BID 66356), X-Force (91988), Secunia (SA57465) и Tenable (75346).

ПродуктИнформация

Тип

Поставщик

Имя

Версия

Лицензия

Веб-сайт

CPE 2.3Информация

CPE 2.2Информация

CVSSv4Информация

VulDB Вектор: 🔍
VulDB Надёжность: 🔍

CVSSv3Информация

VulDB Meta Base Score: 5.3
VulDB Meta Temp Score: 4.6

VulDB Базовый балл: 5.3
VulDB Временная оценка: 4.6
VulDB Вектор: 🔍
VulDB Надёжность: 🔍

CVSSv2Информация

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
ВекторСложностьАутентификацияКонфиденциальностьЦелостностьДоступность
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать

VulDB Базовый балл: 🔍
VulDB Временная оценка: 🔍
VulDB Надёжность: 🔍

NVD Базовый балл: 🔍

ЭксплуатацияИнформация

Класс: эскалация привилегий
CWE: CWE-20
CAPEC: 🔍
ATT&CK: 🔍

Физический: Нет
Локальный: Нет
Удалённый: Да

Доступность: 🔍
Статус: недоказанный

EPSS Score: 🔍
EPSS Percentile: 🔍

Прогноз цен: 🔍
Оценка текущей цены: 🔍

0-DayРазблокироватьРазблокироватьРазблокироватьРазблокировать
СегодняРазблокироватьРазблокироватьРазблокироватьРазблокировать

Nessus ID: 75346
Nessus Имя: openSUSE Security Update : MozillaFirefox (openSUSE-SU-2014:0599-1)
Nessus Файл: 🔍
Nessus Риск: 🔍
Nessus Семейство: 🔍
Nessus Context: 🔍
Nessus Port: 🔍

OpenVAS ID: 841767
OpenVAS Имя: Ubuntu Update for nss USN-2159-1
OpenVAS Файл: 🔍
OpenVAS Семейство: 🔍

Qualys ID: 🔍
Qualys Имя: 🔍

Разведка угрозИнформация

Интерес: 🔍
Активные акторы: 🔍
Активные группы APT: 🔍

КонтрмерыИнформация

Рекомендация: Обновление
Статус: 🔍

Время реакции: 🔍
0-дневное время: 🔍
Время экспозиции: 🔍

Обновление: Network Security Services 3.16

ХронологияИнформация

16.01.2014 🔍
18.03.2014 +61 дни 🔍
18.03.2014 +0 дни 🔍
21.03.2014 +3 дни 🔍
21.03.2014 +0 дни 🔍
25.03.2014 +4 дни 🔍
25.03.2014 +0 дни 🔍
13.06.2014 +80 дни 🔍
29.04.2019 +1781 дни 🔍

ИсточникиИнформация

Поставщик: mozilla.org

Консультация: Bug 903885
Исследователь: Christian Heimes
Организация: Mozilla
Статус: Подтверждённый
Подтверждение: 🔍
Скоординированный: 🔍

CVE: CVE-2014-1492 (🔍)
GCVE (CVE): GCVE-0-2014-1492
GCVE (VulDB): GCVE-100-12684

OVAL: 🔍

X-Force: 91988 - Mozilla Network Security Services wildcard characters unspecified, Medium Risk
SecurityFocus: 66356 - Mozilla Network Security Services CVE-2014-1492 Security Bypass Vulnerability
Secunia: 57465 - Network Security Services (NSS) Two Vulnerabilities, Moderately Critical

Разное: 🔍
Смотрите также: 🔍

ВходИнформация

Создано: 25.03.2014 09:17
Обновлено: 29.04.2019 20:51
Изменения: 25.03.2014 09:17 (88), 29.04.2019 20:51 (1)
Завершенный: 🔍
Cache ID: 216:0F8:103

Обсуждение

Комментариев пока нет. Языки: ru + be + en.

Пожалуйста, войдите в систему, чтобы прокомментировать.

◂ ПредыдущийОбзорДалее ▸

Want to stay up to date on a daily basis?

Enable the mail alert feature now!