Drupal до 7.26 Form State API раскрытие информации

CVSS Meta Temp ScoreТекущая цена эксплойта (≈)Балл интереса CTI
3.2$0-$5k0.00

СводкаИнформация

В Drupal была найдена уязвимость, классифицированная как проблематичный. Неизвестная функция компонента Form State API используется. Осуществление манипуляции приводит к раскрытие информации. Эта уязвимость обрабатывается как CVE-2014-2983. Эксплойт отсутствует. Рекомендуется произвести апгрейд соответствующего компонента.

ПодробностиИнформация

В Drupal была найдена уязвимость, классифицированная как проблематичный. Неизвестная функция компонента Form State API используется. Осуществление манипуляции приводит к раскрытие информации. Декларирование проблемы с помощью CWE приводит к CWE-200. В данном уведомлении приводится следующая информация:

Drupal's form API has built-in support for temporary storage of form state, for example user input. This is often used on multi-step forms, and is required on Ajax-enabled forms in order to allow the Ajax calls to access and update interim user input on the server.
Информация о слабости была опубликована 16.04.2014 автором Daniel F. Kudwien, Rodionov Igor, Ryan Szrama, Roman Zimmermann and znerol под номером SA-CORE-2014-002 как Консультация (Веб-сайт). Документ доступен для загрузки по адресу drupal.org.

Эта уязвимость обрабатывается как CVE-2014-2983. CVE был назначен 21.04.2014. Техническая информация отсутствует. Уровень популярности этой уязвимости ниже среднего значения. Эксплойт отсутствует. На данный момент актуальная стоимость эксплойта может быть около USD $0-$5k. Техника атаки по классификации MITRE ATT&CK: T1592. В рекомендациях указано следующее:

When pages are cached for anonymous users (either by Drupal or by an external system), form state may leak between anonymous users. As a consequence there is a chance that interim form input recorded for one anonymous user (which may include sensitive or private information, depending on the nature of the form) will be disclosed to other users interacting with the same form at the same time. This especially affects multi-step Ajax forms because the window of opportunity (i.e. the time span between user input and final form submission) is indeterminable.

В случае 0-day эксплойта, предполагаемая цена на подпольном рынке была около $0-$5k. Сканер Nessus предлагает плагин с идентификатором 73635. Он относится к семейству CGI abuses. Коммерческий сканер уязвимостей Qualys способен проверить эту проблему с помощью плагина 12932 (Drupal Core Form API Information Disclosure Vulnerability (SA-CORE-2014-002)).

Обновление до версии 6.31 и 7.27 позволяет устранить данную проблему. Рекомендуется произвести апгрейд соответствующего компонента.

Уязвимость также задокументирована в других базах данных уязвимостей: SecurityFocus (BID 66977), X-Force (92675), Secunia (SA58132), Vulnerability Center (SBV-44341) и Tenable (73635).

ПродуктИнформация

Тип

Имя

Версия

Лицензия

Веб-сайт

CPE 2.3Информация

CPE 2.2Информация

CVSSv4Информация

VulDB Вектор: 🔍
VulDB Надёжность: 🔍

CVSSv3Информация

VulDB Meta Base Score: 3.7
VulDB Meta Temp Score: 3.2

VulDB Базовый балл: 3.7
VulDB Временная оценка: 3.2
VulDB Вектор: 🔍
VulDB Надёжность: 🔍

CVSSv2Информация

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
ВекторСложностьАутентификацияКонфиденциальностьЦелостностьДоступность
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать

VulDB Базовый балл: 🔍
VulDB Временная оценка: 🔍
VulDB Надёжность: 🔍

NVD Базовый балл: 🔍

ЭксплуатацияИнформация

Класс: раскрытие информации
CWE: CWE-200 / CWE-284 / CWE-266
CAPEC: 🔍
ATT&CK: 🔍

Физический: Нет
Локальный: Нет
Удалённый: Да

Доступность: 🔍
Статус: недоказанный

EPSS Score: 🔍
EPSS Percentile: 🔍

Прогноз цен: 🔍
Оценка текущей цены: 🔍

0-DayРазблокироватьРазблокироватьРазблокироватьРазблокировать
СегодняРазблокироватьРазблокироватьРазблокироватьРазблокировать

Nessus ID: 73635
Nessus Имя: Drupal 7.x < 7.27 Forms API Information Disclosure
Nessus Файл: 🔍
Nessus Риск: 🔍
Nessus Семейство: 🔍

OpenVAS ID: 702913
OpenVAS Имя: Debian Security Advisory DSA 2913-1 (drupal7 - security update
OpenVAS Файл: 🔍
OpenVAS Семейство: 🔍

Qualys ID: 🔍
Qualys Имя: 🔍

Разведка угрозИнформация

Интерес: 🔍
Активные акторы: 🔍
Активные группы APT: 🔍

КонтрмерыИнформация

Рекомендация: Обновление
Статус: 🔍

Время реакции: 🔍
0-дневное время: 🔍
Время экспозиции: 🔍

Обновление: Drupal 6.31/7.27

ХронологияИнформация

16.04.2014 🔍
16.04.2014 +0 дни 🔍
16.04.2014 +0 дни 🔍
16.04.2014 +0 дни 🔍
21.04.2014 +5 дни 🔍
21.04.2014 +0 дни 🔍
21.04.2014 +0 дни 🔍
22.04.2014 +1 дни 🔍
23.04.2014 +1 дни 🔍
30.04.2014 +7 дни 🔍
11.05.2026 +4394 дни 🔍

ИсточникиИнформация

Продукт: drupal.org

Консультация: SA-CORE-2014-002
Исследователь: Daniel F. Kudwien, Rodionov Igor, Ryan Szrama, Roman Zimmermann, znerol
Статус: Подтверждённый
Подтверждение: 🔍

CVE: CVE-2014-2983 (🔍)
GCVE (CVE): GCVE-0-2014-2983
GCVE (VulDB): GCVE-100-13021

OVAL: 🔍

X-Force: 92675 - Drupal form API information disclosure, Medium Risk
SecurityFocus: 66977 - Drupal Core Information Disclosure Vulnerability
Secunia: 58132 - Drupal Form State Information Disclosure Security Issue, Less Critical
Vulnerability Center: 44341 - Drupal 6.x before 6.31 and 7.x before 7.27 Remote Information Disclosure due to an Error in Form API, Medium

ВходИнформация

Создано: 22.04.2014 14:18
Обновлено: 11.05.2026 22:01
Изменения: 22.04.2014 14:18 (80), 27.05.2017 10:25 (5), 17.06.2021 14:12 (3), 17.12.2024 10:45 (16), 11.05.2026 22:01 (3)
Завершенный: 🔍
Cache ID: 216::103

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Обсуждение

Комментариев пока нет. Языки: ru + be + en.

Пожалуйста, войдите в систему, чтобы прокомментировать.

◂ ПредыдущийОбзорДалее ▸

Are you interested in using VulDB?

Download the whitepaper to learn more about our service!