🕵️ MyBB/MyBB Merge System bis 1.8.6 Admin Control Panel Clickjacking erweiterte Rechte

🕛 Zeit seit Veröffentlichung: 2916 Tage, 2 Stunden 34 Minuten
📆 Veröffentlicht am: 31.01.2017 um 01:00 Uhr
Nachrichtenbereich: 🕵️ Sicherheitslücken
🔗 Quelle: vuldb.com

In MyBB sowie MyBB Merge System bis 1.8.6 wurde eine kritische Schwachstelle gefunden. Dabei geht es um eine unbekannte Funktion der Komponente Admin Control Panel. Durch das Beeinflussen mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle (Clickjacking) ausgenutzt werden. Auswirkungen sind zu beobachten für Vertraulichkeit, Integrität und Verfügbarkeit.

Die Schwachstelle wurde am 31.01.2017 an die Öffentlichkeit getragen. Eine eindeutige Identifikation der Schwachstelle wird mit CVE-2016-9413 vorgenommen. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Nicht vorhanden sind sowohl technische Details als auch ein Exploit zur Schwachstelle.

Ein Upgrade auf die Version 1.8.7 vermag dieses Problem zu beheben.

Die Einträge 96354, 96355, 96356 und 96357 sind sehr ähnlich.

CVSSv3

Base Score: ≈5.5
Temp Score: ≈5.3
Vector: CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:L/E:X/RL:O/RC:X
Zuverlässigkeit: Medium

CVSSv2

Base Score: ≈6.0 (CVSS2#AV:N/AC:M/Au:S/C:P/I:P/A:P)
Temp Score: ≈5.2 (CVSS2#E:ND/RL:OF/RC:ND)
Zuverlässigkeit: Medium

CPE

• cpe:/a:mybb:mybb:1.8.0
• cpe:/a:mybb:mybb:1.8.1
• cpe:/a:mybb:mybb:1.8.2
• cpe:/a:mybb:mybb:1.8.3
• cpe:/a:mybb:mybb:1.8.4
• cpe:/a:mybb:mybb:1.8.5
• cpe:/a:mybb:mybb:1.8.6
• cpe:/a:mybb_merge_system:mybb_merge_system:1.8.0
• cpe:/a:mybb_merge_system:mybb_merge_system:1.8.1
• cpe:/a:mybb_merge_system:mybb_merge_system:1.8.2
• cpe:/a:mybb_merge_system:mybb_merge_system:1.8.3
• cpe:/a:mybb_merge_system:mybb_merge_system:1.8.4
• cpe:/a:mybb_merge_system:mybb_merge_system:1.8.5
• cpe:/a:mybb_merge_system:mybb_merge_system:1.8.6

Exploiting

Klasse: Erweiterte Rechte
Lokal: Nein
Remote: Ja

Verfügbarkeit: Nein

Preisentwicklung: gleichbleibend
Aktuelle Preisschätzung: $0-$5k (0-day) / $0-$5k (Heute)

Gegenmassnahmen

Empfehlung: Upgrade
Status: Offizieller Fix
0-Day Time: 0 Tage seit gefunden

Upgrade: MyBB/MyBB Merge System 1.8.7

Timeline

31.01.2017 Advisory veröffentlicht
01.02.2017 VulDB Eintrag erstellt
01.02.2017 VulDB letzte Aktualisierung

Quellen

CVE: CVE-2016-9413 (mitre.org) (nvd.nist.org) (cvedetails.com)
Siehe auch: 96354, 96355, 96356, 96357, 96359, 96360, 96361, 96362

Eintrag

Erstellt: 01.02.2017
Aktualisierung: 01.02.2017
Eintrag: 68.8% komplett
...