📚 Mensch und Maschine MapEdit 3.2.6.0 Authentication /Start.aspx Information Disclosure
💡 Newskategorie: Sicherheitslücken
🔗 Quelle: vuldb.com
Eine problematische Schwachstelle wurde in Mensch und Maschine MapEdit 3.2.6.0 ausgemacht. Betroffen davon ist eine unbekannte Funktion der Datei /Start.aspx der Komponente Authentication. Dank der Manipulation mit einer unbekannten Eingabe kann eine Information Disclosure-Schwachstelle ausgenutzt werden. Auswirkungen sind zu beobachten für die Vertraulichkeit.
Am 07.06.2016 wurde das Problem entdeckt. Die Schwachstelle wurde am 13.09.2016 durch Paul Baade und Sven Krewitt in Form eines ungeprüften Mailinglist Posts (Full-Disclosure) veröffentlicht. Auf seclists.org kann das Advisory eingesehen werden. Der Angriff kann über das Netzwerk passieren. Das Ausnutzen erfordert keine spezifische Authentisierung. Zur Schwachstelle sind technische Details bekannt, ein verfügbarer Exploit jedoch nicht.
Dabei muss 52 Tage als nicht veröffentlichte Zero-Day Schwachstelle ausgegangen werden. Während dieser Zeit erzielte er wohl etwa $1k-$2k auf dem Schwarzmarkt.
Ein Upgrade auf die Version 6.2.74 vermag dieses Problem zu beheben. Das Erscheinen einer Gegenmassnahme geschah vor und nicht erst nach der Veröffentlichung der Schwachstelle. Mensch und Maschine hat entsprechend vorgängig reagiert.
Die Einträge 91719, 91720, 91721 und 91722 sind sehr ähnlich.
CVSSv3
Base Score: 5.3 [?]Temp Score: 4.9 [?]
Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N/E:X/RL:O/RC:R [?]
Zuverlässigkeit: High
CVSSv2
Base Score: 4.3 (CVSS2#AV:N/AC:M/Au:N/C:P/I:N/A:N) [?]Temp Score: 3.6 (CVSS2#E:ND/RL:OF/RC:UR) [?]
Zuverlässigkeit: High
CPE
Exploiting
Klasse: Information DisclosureLokal: Nein
Remote: Ja
Verfügbarkeit: Nein
Aktuelle Preisschätzung: $0-$1k (0-day) / $0-$1k (Heute)
Gegenmassnahmen
Empfehlung: UpgradeStatus: Offizieller Fix
Reaction Time: 50 Tage seit gemeldet
0-Day Time: 52 Tage seit gefunden
Upgrade: MapEdit 6.2.74
Timeline
07.06.2016 Schwachstelle gefunden09.06.2016 Hersteller informiert
23.06.2016 Hersteller bestätigt
29.07.2016 Gegenmassnahme veröffentlicht
13.09.2016 Advisory veröffentlicht
21.09.2016 VulDB Eintrag erstellt
21.09.2016 VulDB letzte Aktualisierung
Quellen
Advisory: seclists.orgPerson: Paul Baade/Sven Krewitt
Status: Ungeprüft
Siehe auch: 91719, 91720, 91721, 91722, 91723
Eintrag
Erstellt: 21.09.2016Eintrag: 76.3% komplett
...