VDB-9954 · OSVDB 96211 · GCVE-100-9954

Google Chrome 28.0.1500.95 Password слабое шифрование ⚔ [Спорный]

CVSS Meta Temp ScoreТекущая цена эксплойта (≈)Балл интереса CTI
3.9$0-$5k0.00

СводкаИнформация

Уязвимость была найдена в Google Chrome 28.0.1500.95. Она была объявлена как проблематичный. Затронута неизвестная функция компонента Password Handler. Выполнение манипуляции с входным значением chrome://settings/passwords приводит к слабое шифрование. Также существует доступный эксплойт. Реальное существование этой уязвимости на данный момент вызывает сомнения.

ПодробностиИнформация

Уязвимость была найдена в Google Chrome 28.0.1500.95. Она была объявлена как проблематичный. Затронута неизвестная функция компонента Password Handler. Выполнение манипуляции с входным значением chrome://settings/passwords приводит к слабое шифрование. Указание проблемы через CWE ведет к CWE-311. Данная уязвимость была опубликована 06.08.2013 исследователем Elliott Kember с идентификатором Chrome's insane password security strategy в виде Posting (Веб-сайт). Консультацию можно прочитать на сайте news.ycombinator.com. Публичное раскрытие информации было осуществлено без согласования с вендором.

Техническая информация предоставлена. Данная уязвимость менее популярна, чем в среднем. Также существует доступный эксплойт. Эксплойт доступен широкой публике и может быть использован. Текущая цена за эксплойт может составлять около USD $0-$5k в настоящее время. Проект MITRE ATT&CK определяет технику атаки как T1600.

Задано как функциональный. В качестве 0-day ориентировочная цена на подпольном рынке составляла около $25k-$100k. Реальное существование этой уязвимости на данный момент вызывает сомнения. .

Обновленную версию можно скачать по адресу chrome.google.com. Консультация содержит следующее замечание:

We've also been repeatedly asked why we don't just support a master password or something similar, even if we don't believe it works. We've debated it over and over again, but the conclusion we always come to is that we don't want to provide users with a false sense of security, and encourage risky behavior. We want to be very clear that when you grant someone access to your OS user account, that they can get at everything. Because in effect, that's really what they get.

ПродуктИнформация

Тип

Поставщик

Имя

Версия

Лицензия

Веб-сайт

CPE 2.3Информация

CPE 2.2Информация

CVSSv4Информация

VulDB Вектор: 🔍
VulDB Надёжность: 🔍

CVSSv3Информация

VulDB Meta Base Score: 4.4
VulDB Meta Temp Score: 3.9

VulDB Базовый балл: 4.4
VulDB Временная оценка: 3.9
VulDB Вектор: 🔍
VulDB Надёжность: 🔍

CVSSv2Информация

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
ВекторСложностьАутентификацияКонфиденциальностьЦелостностьДоступность
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать

VulDB Базовый балл: 🔍
VulDB Временная оценка: 🔍
VulDB Надёжность: 🔍

ЭксплуатацияИнформация

Класс: слабое шифрование
CWE: CWE-311 / CWE-310
CAPEC: 🔍
ATT&CK: 🔍

Физический: Частично
Локальный: Да
Удалённый: Нет

Доступность: 🔍
Доступ: публичный
Статус: функциональный
Прогноз цен: 🔍
Оценка текущей цены: 🔍

0-DayРазблокироватьРазблокироватьРазблокироватьРазблокировать
СегодняРазблокироватьРазблокироватьРазблокироватьРазблокировать

Разведка угрозИнформация

Интерес: 🔍
Активные акторы: 🔍
Активные группы APT: 🔍

КонтрмерыИнформация

Рекомендация: о смягчении не известно
Статус: 🔍

0-дневное время: 🔍

Обновление: chrome.google.com

ХронологияИнформация

06.08.2013 🔍
15.08.2013 +9 дни 🔍
08.05.2018 +1727 дни 🔍

ИсточникиИнформация

Поставщик: google.com
Продукт: google.com

Консультация: Chrome's insane password security strategy
Исследователь: Elliott Kember
Статус: Не определено
Спорный: 🔍

GCVE (VulDB): GCVE-100-9954
OSVDB: 96211

scip Labs: https://www.scip.ch/en/?labs.20161013
Разное: 🔍

ВходИнформация

Создано: 15.08.2013 17:52
Обновлено: 08.05.2018 09:01
Изменения: 15.08.2013 17:52 (49), 08.05.2018 09:01 (2)
Завершенный: 🔍
Cache ID: 216::103

If you want to get best quality of vulnerability data, you may have to visit VulDB.

Обсуждение

Комментариев пока нет. Языки: ru + be + en.

Пожалуйста, войдите в систему, чтобы прокомментировать.

◂ ПредыдущийОбзорДалее ▸

Do you want to use VulDB in your project?

Use the official API to access entries easily!