📚 Suckless slock Screen Lock NULL Pointer Dereference Denial of Service
💡 Newskategorie: Sicherheitslücken
🔗 Quelle: vuldb.com
Eine problematische Schwachstelle wurde in Suckless slock - eine genaue Versionsangabe steht aus - gefunden. Hierbei geht es um eine unbekannte Funktion der Komponente Screen Lock. Mit der Manipulation mit einer unbekannten Eingabe kann eine Denial of Service-Schwachstelle (NULL Pointer Dereference) ausgenutzt werden. Auswirkungen hat dies auf die Verfügbarkeit.
Die Schwachstelle wurde am 15.02.2017 (oss-sec) herausgegeben. Auf openwall.com kann das Advisory eingesehen werden. Die Verwundbarkeit wird seit dem 18.08.2016 mit der eindeutigen Identifikation CVE-2016-6866 gehandelt. Technische Details oder ein Exploit zur Schwachstelle sind nicht verfügbar.
Für den Vulnerability Scanner Nessus wurde ein Plugin mit der ID 93053 (Debian DLA-598-1 : suckless-tools security update) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Debian Local Security Checks zugeordnet.
Die Schwachstelle lässt sich durch das Einspielen eines Patches lösen. Dieser kann von git.suckless.org bezogen werden.
Mitunter wird der Fehler auch in der Verwundbarkeitsdatenbank von SecurityFocus (BID 92546) dokumentiert.
CVSSv3
Base Score: ≈3.5Temp Score: ≈3.4
Vector: CVSS:3.0/AV:A/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L/E:X/RL:O/RC:X
Zuverlässigkeit: Low
CVSSv2
Base Score: ≈1.5 (CVSS2#AV:A/AC:M/Au:S/C:N/I:N/A:P)Temp Score: ≈1.3 (CVSS2#E:ND/RL:OF/RC:ND)
Zuverlässigkeit: Medium
CPE
Exploiting
Klasse: Denial of ServiceLokal: Ja
Remote: Nein
Verfügbarkeit: Nein
Preisentwicklung: gleichbleibend
Aktuelle Preisschätzung: $0-$5k (0-day) / $0-$5k (Heute)
Nessus ID: 93053
Nessus Name: Debian DLA-598-1 : suckless-tools security update
Nessus File: debian_DLA-598.nasl
Nessus Family: Debian Local Security Checks
OpenVAS ID: 871139
OpenVAS Name: Fedora Update for slock FEDORA-2016-7e817cbf55
OpenVAS File: gb_fedora_2016_7e817cbf55_slock_fc23.nasl
OpenVAS Family: Fedora Local Security Checks
Gegenmassnahmen
Empfehlung: PatchStatus: Offizieller Fix
0-Day Time: 0 Tage seit gefunden
Patch: git.suckless.org
Timeline
18.08.2016 CVE zugewiesen15.02.2017 Advisory veröffentlicht
16.02.2017 VulDB Eintrag erstellt
16.02.2017 VulDB letzte Aktualisierung
Quellen
Advisory: openwall.comBestätigung: git.suckless.org
CVE: CVE-2016-6866 (mitre.org) (nvd.nist.org) (cvedetails.com)
SecurityFocus: 92546
Eintrag
Erstellt: 16.02.2017Eintrag: 73.2% komplett
...