🏠 Team IT Security News

TSecurity.de ist eine Online-Plattform, die sich auf die Bereitstellung von Informationen,alle 15 Minuten neuste Nachrichten, Bildungsressourcen und Dienstleistungen rund um das Thema IT-Sicherheit spezialisiert hat.
Ob es sich um aktuelle Nachrichten, Fachartikel, Blogbeiträge, Webinare, Tutorials, oder Tipps & Tricks handelt, TSecurity.de bietet seinen Nutzern einen umfassenden Überblick über die wichtigsten Aspekte der IT-Sicherheit in einer sich ständig verändernden digitalen Welt.

16.12.2023 - TIP: Wer den Cookie Consent Banner akzeptiert, kann z.B. von Englisch nach Deutsch übersetzen, erst Englisch auswählen dann wieder Deutsch!

Google Android Playstore Download Button für Team IT Security

800+ IT News als RSS Feed abonnieren

Thema auswählen:

📚 IBM WebSphere Commerce bis 6.0.0.11/7.0.0.9/8.0.0.2 Order Handler erweiterte Rechte

🕛 Zeit seit Veröffentlichung: 2977 Tage, 2 Stunden 5 Minuten
📆 Veröffentlicht am: 03.03.2016 um 01:00 Uhr
💡 Newskategorie: Sicherheitslücken
🔗 Quelle: scip.ch

Allgemein

scipID: 81321
Betroffen: IBM WebSphere Commerce bis 6.0.0.11/7.0.0.9/8.0.0.2
Veröffentlicht: 03.03.2016
Risiko: kritisch

Erstellt: 11.03.2016
Eintrag: 75.4% komplett

Beschreibung

Es wurde eine Schwachstelle in IBM WebSphere Commerce bis 6.0.0.11/7.0.0.9/8.0.0.2 ausgemacht. Sie wurde als kritisch eingestuft. Hiervon betroffen ist eine unbekannte Funktion der Komponente Order Handler. Durch das Beeinflussen mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Dies hat Einfluss auf Integrität und Verfügbarkeit.

Die Schwachstelle wurde am 03.03.2016 als swg21975774 / 1975774 in Form eines bestätigten Advisories (Website) publiziert. Das Advisory kann von www-01.ibm.com heruntergeladen werden. Die Identifikation der Schwachstelle wird mit CVE-2016-0208 vorgenommen. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Technische Details oder ein Exploit zur Schwachstelle sind nicht verfügbar. Das Advisory weist darauf hin:

WebSphere Commerce is vulnerable to a denial of service attack where an unauthenticated attacker could manipulate sensitive information that could prevent another user from completing their order.

Ein Aktualisieren auf die Version 8.0.0.3 vermag dieses Problem zu lösen. Die Schwachstelle lässt sich auch durch das Einspielen des Patches JR54988 lösen. Als bestmögliche Massnahme wird das Upgrade auf eine neue Version empfohlen. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. IBM hat daher sofort gehandelt. Mitunter wird der Fehler auch in den Datenbanken von X-Force (109400) und SecurityTracker (ID 1035239) dokumentiert.

CVSS

Base Score: 5.8 (CVSS2#AV:N/AC:M/Au:N/C:N/I:P/A:P) [?]
Temp Score: 4.3 (CVSS2#E:U/RL:OF/RC:C) [?]

CPE

Exploiting

Klasse: Erweiterte Rechte
Lokal: Nein
Remote: Ja

Verfügbarkeit: Nein
Status: Unbewiesen

Aktuelle Preisschätzung: $10k-$25k (0-day) / $2k-$5k (Heute)

Gegenmassnahmen

Empfehlung: Upgrade
Status: Offizieller Fix
Reaction Time: 0 Tage seit gemeldet
0-Day Time: 0 Tage seit gefunden
Exposure Time: 0 Tage seit bekannt

Upgrade: WebSphere Commerce 8.0.0.3
Patch: JR54988

Timeline

Quellen

Advisory: swg21975774 / 1975774
Status: Bestätigt

CVE: CVE-2016-0208 (mitre.org) (nvd.nist.org) (cvedetails.com)

X-Force: 109400 – IBM WebSphere Commerce Enterprise, Professional, Express, and Developer data modification
SecurityTracker: 1035239 – IBM WebSphere Commerce Lets Remote Users Prevent Other Users From Completing Orders

...