🕵️ Foreman bis 1.11.3/1.12.0 API interfaces Information Disclosure

🕛 Zeit seit Veröffentlichung: 2943 Tage, 3 Stunden 59 Minuten
📆 Veröffentlicht am: 19.08.2016 um 02:00 Uhr
Nachrichtenbereich: 🕵️ Sicherheitslücken
🔗 Quelle: vuldb.com

In Foreman bis 1.11.3/1.12.0 wurde eine problematische Schwachstelle gefunden. Das betrifft eine unbekannte Funktion der Datei api/v2/hosts/secrethost/interfaces der Komponente API. Durch Manipulation mit einer unbekannten Eingabe kann eine Information Disclosure-Schwachstelle (Config) ausgenutzt werden. Auswirkungen sind zu beobachten für die Vertraulichkeit.

Die Schwachstelle wurde am 19.08.2016 an die Öffentlichkeit getragen. Eine eindeutige Identifikation der Schwachstelle wird mit CVE-2016-5390 vorgenommen. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Das Angehen einer einfachen Authentisierung ist erforderlich, um eine Ausnutzung anzugehen. Technische Details sind bekannt, ein verfügbarer Exploit hingegen nicht.

Ein Upgrade auf die Version 1.11.4 oder 1.12.1 vermag dieses Problem zu beheben.

Die Einträge 90883, 90884, 90885 und 90888 sind sehr ähnlich.

CVSSv3

Base Score: 4.3 [?]
Temp Score: 4.1 [?]
Vector: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N/E:X/RL:O/RC:X [?]
Zuverlässigkeit: Medium

CVSSv2

Base Score: 3.5 (CVSS2#AV:N/AC:M/Au:S/C:P/I:N/A:N) [?]
Temp Score: 3.0 (CVSS2#E:ND/RL:OF/RC:ND) [?]
Zuverlässigkeit: Medium

CPE

• cpe:/a:foreman:foreman:1.11.3
• cpe:/a:foreman:foreman:1.12.0

Exploiting

Klasse: Information Disclosure
Lokal: Nein
Remote: Ja

Verfügbarkeit: Nein

Aktuelle Preisschätzung: $0-$1k (0-day) / $0-$1k (Heute)

Gegenmassnahmen

Empfehlung: Upgrade
Status: Offizieller Fix
0-Day Time: 0 Tage seit gefunden

Upgrade: Foreman 1.11.4/1.12.1

Timeline

19.08.2016 Advisory veröffentlicht
20.08.2016 VulDB Eintrag erstellt
20.08.2016 VulDB letzte Aktualisierung

Quellen

CVE: CVE-2016-5390 (mitre.org) (nvd.nist.org) (cvedetails.com)
Siehe auch: 90883, 90884, 90885, 90888, 90889

Eintrag

Erstellt: 20.08.2016
Eintrag: 72.2% komplett
...