800+ IT
News
als RSS Feed abonnieren📚 Tenable Nessus bis 5.x/6.5.4 Host Details Cross Site Scripting
💡 Newskategorie: Sicherheitslücken
🔗 Quelle: scip.ch
Allgemein
scipID: 81026
Betroffen: Tenable Nessus bis 5.x/6.5.4
Veröffentlicht: 15.02.2016
Risiko: problematisch
Erstellt: 19.02.2016
Eintrag: 74.9% komplett
Beschreibung
Eine problematische Schwachstelle wurde in Tenable Nessus bis 5.x/6.5.4 ausgemacht. Es geht hierbei um eine unbekannte Funktion der Komponente Host Details. Dank der Manipulation mit einer unbekannten Eingabe kann eine Cross Site Scripting-Schwachstelle ausgenutzt werden. Dies wirkt sich aus auf die Integrität.
Die Schwachstelle wurde am 15.02.2016 als TNS-2016-02 in Form eines bestätigten Advisories (Website) veröffentlicht. Auf tenable.com kann das Advisory eingesehen werden. Die Identifikation der Schwachstelle findet als CVE-2016-82000 statt. Die Schwachstelle ist relativ beliebt, und dies trotz ihrer hohen Komplexität. Der Angriff kann über das Netzwerk passieren. Das Ausnutzen erfordert keine spezifische Authentisierung. Es sind zwar keine technische Details, jedoch ein privater Exploit zur Schwachstelle bekannt. Historisch interessant ist diese Schwachstelle mitunter wegen ihrer speziellen Ausprägung.
Er wird als funktional gehandelt.
Ein Upgrade auf die Version 6.5.5 vermag dieses Problem zu beheben. Eine neue Version kann von support.tenable.com bezogen werden. Das Erscheinen einer Gegenmassnahme geschah sofort nach der Veröffentlichung der Schwachstelle. Tenable hat entsprechend unmittelbar reagiert. Mitunter wird der Fehler auch in der Verwundbarkeitsdatenbank von SecurityTracker (ID 1035044) dokumentiert. Die Einträge 81027 sind sehr ähnlich.CVSS
Base Score: 4.3 (CVSS2#AV:N/AC:M/Au:N/C:N/I:P/A:N) [?]
Temp Score: 3.6 (CVSS2#E:F/RL:OF/RC:C) [?]
CPE
Exploiting
Klasse: Cross Site Scripting
Lokal: Nein
Remote: Ja
Verfügbarkeit: Ja
Zugang: Privat
Status: Funktional
Aktuelle Preisschätzung: $5k-$10k (0-day) / $1k-$2k (Heute)
Gegenmassnahmen
Empfehlung: Upgrade
Status: Offizieller Fix
Reaction Time: 0 Tage seit gemeldet
0-Day Time: 0 Tage seit gefunden
Exposure Time: 0 Tage seit bekannt
Upgrade: Nessus 6.5.5
Timeline
15.02.2016 | Advisory veröffentlicht
15.02.2016 | Gegenmassnahme veröffentlicht
18.02.2016 | SecurityTracker Eintrag erstellt
19.02.2016 | VulDB Eintrag erstellt
19.02.2016 | VulDB Eintrag aktualisiert
Quellen
Advisory: TNS-2016-02
Status: Bestätigt
CVE: CVE-2016-82000 (mitre.org) (nvd.nist.org) (cvedetails.com)
Siehe auch: 81027
...