๐ Ipswitch Whatsup Gold bis 16.3 SOAP Request Handler DroneDeleteOldMeasurements SQL Injection
๐ก Newskategorie: Sicherheitslรผcken
๐ Quelle: scip.ch
Allgemein
scipID: 80109
Betroffen: Ipswitch Whatsup Gold bis 16.3
Veröffentlicht: 08.01.2016
Risiko: kritisch
Erstellt: 08.01.2016
Eintrag: 66.8% komplett
Beschreibung
Es wurde eine Schwachstelle in Ipswitch Whatsup Gold bis 16.3 entdeckt. Sie wurde als kritisch eingestuft. Betroffen hiervon ist die Funktion DroneDeleteOldMeasurements
der Komponente SOAP Request Handler. Durch das Manipulieren mit einer unbekannten Eingabe kann eine SQL Injection-Schwachstelle ausgenutzt werden. Auswirkungen hat dies auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Zusammenfassung von CVE lautet:
The DroneDeleteOldMeasurements implementation in Ipswitch WhatsUp Gold before 16.4 does not properly validate serialized XML objects, which allows remote attackers to conduct SQL injection attacks via a crafted SOAP request.
Die Schwachstelle wurde am 08.01.2016 publiziert. Die Identifikation der Schwachstelle wird mit CVE-2015-8261 vorgenommen. Der Angriff kann über das Netzwerk erfolgen. Es sind zwar technische Details, jedoch kein verfügbarer Exploit zur Schwachstelle bekannt.
Ein Aktualisieren auf die Version 16.4 vermag dieses Problem zu lösen.CVSS
Base Score: 6.0 (CVSS2#AV:N/AC:M/Au:S/C:P/I:P/A:P) [?]
Temp Score: 5.2 (CVSS2#E:ND/RL:OF/RC:ND) [?]
CPE
- cpe:/a:ipswitch:whatsup_gold:16.0
- cpe:/a:ipswitch:whatsup_gold:16.1
- cpe:/a:ipswitch:whatsup_gold:16.2
- cpe:/a:ipswitch:whatsup_gold:16.3
Exploiting
Klasse: SQL Injection
Lokal: Nein
Remote: Ja
Verfügbarkeit: Nein
Aktuelle Preisschätzung: $2k-$5k (0-day) / $0-$1k (Heute)
Gegenmassnahmen
Empfehlung: Upgrade
Status: Offizieller Fix
0-Day Time: 0 Tage seit gefunden
Upgrade: Whatsup Gold 16.4
Timeline
08.01.2016 | Advisory veröffentlicht
08.01.2016 | VulDB Eintrag erstellt
08.01.2016 | VulDB Eintrag aktualisiert
Quellen
CVE: CVE-2015-8261 (mitre.org) (nvd.nist.org) (cvedetails.com)
...