IBM WebSphere Portal 6.1/7.0/8.0/8.5 AccessControl REST API Information Disclosure

Allgemein

scipID: 79919

Betroffen: IBM WebSphere Portal 6.1/7.0/8.0/8.5

Veröffentlicht: 15.12.2015

Risiko: problematisch

Erstellt: 28.12.2015

Eintrag: 71.8% komplett

Beschreibung

Eine Schwachstelle wurde in IBM WebSphere Portal 6.1/7.0/8.0/8.5 ausgemacht. Sie wurde als problematisch eingestuft. Hierbei geht es um eine unbekannte Funktion der Komponente AccessControl REST API. Durch Manipulation mit einer unbekannten Eingabe kann eine Information Disclosure-Schwachstelle ausgenutzt werden. Auswirken tut sich dies auf die Vertraulichkeit.

Die Schwachstelle wurde am 15.12.2015 als 1973152 / swg21973152 in Form eines bestätigten Advisories (Website) herausgegeben. Auf www-304.ibm.com kann das Advisory eingesehen werden. Die Verwundbarkeit wird mit der eindeutigen Identifikation CVE-2015-7447 gehandelt. Sie gilt als leicht auszunutzen. Umgesetzt werden kann der Angriff über das Netzwerk. Das Ausnutzen erfordert keine spezifische Authentisierung. Technische Details sind nicht bekannt und ein Exploit zur Schwachstelle ist ebenfalls nicht vorhanden.

Die Schwachstelle lässt sich durch das Einspielen eines Patches lösen. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. IBM hat demzufolge sofort gehandelt. Mitunter wird der Fehler auch in der Verwundbarkeitsdatenbank von SecurityTracker (ID 1034538) dokumentiert.

CVSS

Base Score: 5.0 (CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N) [?]

Temp Score: 4.4 (CVSS2#E:ND/RL:OF/RC:C) [?]

CPE

• cpe:/a:ibm:websphere_portal:6.1


• cpe:/a:ibm:websphere_portal:7.0


• cpe:/a:ibm:websphere_portal:8.0


• cpe:/a:ibm:websphere_portal:8.5

Exploiting

Klasse: Information Disclosure

Lokal: Nein

Remote: Ja

Verfügbarkeit: Nein

Aktuelle Preisschätzung: $5k-$10k (0-day) / $2k-$5k (Heute)

Gegenmassnahmen

Empfehlung: Patch

Status: Offizieller Fix

Reaction Time: 0 Tage seit gemeldet

0-Day Time: 0 Tage seit gefunden

Exposure Time: 0 Tage seit bekannt

Timeline

15.12.2015 | Advisory veröffentlicht
15.12.2015 | Gegenmassnahme veröffentlicht
24.12.2015 | SecurityTracker Eintrag erstellt
28.12.2015 | VulDB Eintrag erstellt
28.12.2015 | VulDB Eintrag aktualisiert

Quellen

Advisory: 1973152 / swg21973152

Status: Bestätigt

CVE: CVE-2015-7447 (mitre.org) (nvd.nist.org) (cvedetails.com)

SecurityTracker: 1034538 – IBM WebSphere Portal Flaw Lets Remote Users Obtain Potentially Sensitive Information on the Target System