Teleopti WFM bis 7.1.0 Administration GetOneTenant Information Disclosure

In Teleopti WFM bis 7.1.0 wurde eine problematische Schwachstelle entdeckt. Es geht um eine unbekannte Funktion der Datei /TeleoptiWFM/Administration/GetOneTenant der Komponente Administration. Mittels dem Manipulieren mit einer unbekannten Eingabe kann eine Information Disclosure-Schwachstelle (Credentials) ausgenutzt werden. Auswirkungen hat dies auf die Vertraulichkeit.

Die Schwachstelle wurde am 05.02.2017 durch Graph-X als Teleopti WFM in Form eines bestätigten Mailinglist Posts (Full-Disclosure) öffentlich gemacht. Bereitgestellt wird das Advisory unter zur Verfügung gestellt. Mindestens 14 Tage galt die Schwachstelle als nicht öffentlicher Zero-Day. Während dieser Zeit erzielte er wohl etwa $0-$5k auf dem Schwarzmarkt.

Die Schwachstelle lässt sich durch das Einspielen eines Patches lösen. Das Erscheinen einer Gegenmassnahme geschah schon vor und nicht nach der Veröffentlichung der Schwachstelle. Teleopti hat demnach vorab gehandelt. Das Advisory stellt fest:

I want to sincerely thank Teleopti for being so responsive in fixing the vulnerabilities reported. This is the FASTEST I have ever received a) a response from a vendor regarding security flaws and b) the quickest turn around in providing a solution.

Mit dieser Schwachstelle verwandte Einträge finden sich unter .

CVSSv3