800+ IT
News
als RSS Feed abonnieren📚 ZTE ZXHN H108N R1A vor ZTE.bhs.ZXHNH108NR1A.k_PE cgi-bin/webproc erweiterte Rechte
💡 Newskategorie: Sicherheitslücken
🔗 Quelle: scip.ch
Allgemein
scipID: 79973
Betroffen: ZTE ZXHN H108N R1A
Veröffentlicht: 30.12.2015
Risiko: problematisch
Erstellt: 02.01.2016
Aktualisiert: 03.01.2016
Eintrag: 66.8% komplett
Beschreibung
Eine Schwachstelle wurde in ZTE ZXHN H108N R1A ausgemacht. Sie wurde als problematisch eingestuft. Betroffen davon ist eine unbekannte Funktion der Datei cgi-bin/webproc. Durch die Manipulation mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Auswirkungen hat dies auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Zusammenfassung von CVE lautet:
ZTE ZXHN H108N R1A devices before ZTE.bhs.ZXHNH108NR1A.k_PE allow remote authenticated users to bypass intended access restrictions via a modified request, as demonstrated by leveraging the support account to change a password via a cgi-bin/webproc accountpsd action.
Die Schwachstelle wurde am 30.12.2015 herausgegeben. Die Verwundbarkeit wird mit der eindeutigen Identifikation CVE-2015-7249 gehandelt. Umgesetzt werden kann der Angriff über das Netzwerk. Um eine Ausnutzung durchzusetzen, muss eine einfache Authentisierung umgesetzt werden. Zur Schwachstelle sind technische Details bekannt, ein verfügbarer Exploit jedoch nicht.
Ein Aktualisieren auf die Version ZTE.bhs.ZXHNH108NR1A.k_PE vermag dieses Problem zu lösen.CVSS
Base Score: 6.0 (CVSS2#AV:N/AC:M/Au:S/C:P/I:P/A:P) [?]
Temp Score: 5.2 (CVSS2#E:ND/RL:OF/RC:ND) [?]
CPE
Exploiting
Klasse: Erweiterte Rechte
Lokal: Nein
Remote: Ja
Verfügbarkeit: Nein
Aktuelle Preisschätzung: $2k-$5k (0-day) / $0-$1k (Heute)
Gegenmassnahmen
Empfehlung: Upgrade
Status: Offizieller Fix
0-Day Time: 0 Tage seit gefunden
Upgrade: ZXHN H108N R1A ZTE.bhs.ZXHNH108NR1A.k_PE
Timeline
30.12.2015 | Advisory veröffentlicht
02.01.2016 | VulDB Eintrag erstellt
03.01.2016 | VulDB Eintrag aktualisiert
Quellen
CVE: CVE-2015-7249 (mitre.org) (nvd.nist.org) (cvedetails.com)
...