TSEC NEWS: 06.05.21 Cron-Job Fehlerhaft nach PHP Update + PWA mobile + Desktop / 04.05.21 - Android App von TSECURITY 28.04.21 - NEUER SERVER // 26.04.21 ++ Download the Electron-App für tsecurity.de // Über 550 Feed-Quellen


❈ PathTools bis 3.61 File::Spec Module canonpath erweiterte Rechte

Sicherheitslücken / Exploits scip.ch

Allgemein

scipID: 80208
Betroffen: PathTools bis 3.61
Veröffentlicht: 13.01.2016
Risiko: problematisch

Erstellt: 14.01.2016
Eintrag: 66.2% komplett

Beschreibung

Es wurde eine problematische Schwachstelle in PathTools bis 3.61 entdeckt. Dabei betrifft es die Funktion canonpath der Komponente File::Spec Module. Durch das Manipulieren mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle (Taint) ausgenutzt werden. Das hat Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. CVE fasst zusammen:

The canonpath function in the File::Spec module in PathTools before 3.62, as used in Perl, does not properly preserve the taint attribute of data, which might allow context-dependent attackers to bypass the taint protection mechanism via a crafted string.

Die Schwachstelle wurde am 13.01.2016 publik gemacht. Die Verwundbarkeit wird unter CVE-2015-8607 geführt. Es sind zwar technische Details, jedoch kein verfügbarer Exploit zur Schwachstelle bekannt.

Ein Upgrade auf die Version 3.62 vermag dieses Problem zu beheben.

CVSS

Base Score: 4.1 (CVSS2#AV:A/AC:M/Au:S/C:P/I:P/A:P) [?]
Temp Score: 3.6 (CVSS2#E:ND/RL:OF/RC:ND) [?]

CPE

Exploiting

Klasse: Erweiterte Rechte
Lokal: Ja
Remote: Nein

Verfügbarkeit: Nein

Aktuelle Preisschätzung: $2k-$5k (0-day) / $0-$1k (Heute)

Gegenmassnahmen

Empfehlung: Upgrade
Status: Offizieller Fix
0-Day Time: 0 Tage seit gefunden

Upgrade: PathTools 3.62

Timeline

13.01.2016 | Advisory veröffentlicht
14.01.2016 | VulDB Eintrag erstellt
14.01.2016 | VulDB Eintrag aktualisiert

Quellen

CVE: CVE-2015-8607 (mitre.org) (nvd.nist.org) (cvedetails.com)

...


Kompletten Artikel lesen (externe Quelle: http://www.scip.ch/?vuldb.80208)

Zur Startseite

Kommentiere zu PathTools bis 3.61 File::Spec Module canonpath erweiterte Rechte






➤ Weitere Beiträge von Team Security | IT Sicherheit (tsecurity.de)

PathTools bis 3.61 File::Spec Module canonpath erweiterte Rechte

vom 4471.95 Punkte
Allgemein scipID: 80208 Betroffen: PathTools bis 3.61 Veröffentlicht: 13.01.2016 Risiko: problematisch Erstellt: 14.01.2016 Eintrag: 66.2% komplett Beschreibung Es wurde eine problematische Schwachstelle in PathTools bis 3.61 entdeckt. Dabe

PathTools bis 3.61 File::Spec Module canonpath erweiterte Rechte

vom 4471.95 Punkte
Allgemein scipID: 80208 Betroffen: PathTools bis 3.61 Veröffentlicht: 13.01.2016 Risiko: problematisch Erstellt: 14.01.2016 Eintrag: 66.2% komplett Beschreibung Es wurde eine problematische Schwachstelle in PathTools bis 3.61 entdeckt. Dabe

warning: file /usr/lib/node_modules/npm/scripts/index-build.js: remove failed: No such file or directory warning: file

vom 740.75 Punkte
Hello everyone , I have to update amazon linux server for partners, I encounter many warnings that there are no files or folders in nodejs like this, will it affect the system? , I think yum update has this warning because it didn't have any files or folde

Anno 1404 per wine wouldn't start

vom 550.34 Punkte
Hello, I'm not a very new Linux user nor am I very deep into the Unix system. I recently got a game that I'd like to play again and installed it via wine. Starting Anno 1404 I can see the ingame mouse for a second before it crashes. I run Manjaro Linux w

Privateloader Hacxx Mega Release 3 2020

vom 338.17 Punkte
Hacxx Agent + Uploader (RESEARCH)https://www.file-up.org/mzw2j0drgjfh grepWinhttps://www.file-up.org/1vs9dtnpalla/grepWin.exe IPTV Portugal 2020 .m3u8https://www.file-up.org/0u9an4xtlcyr/IPT..._2020.m3u8 PTC Coin Maker V1http://www.mediafire.com/file/v

DevTools architecture refresh: Migrating to JavaScript modules

vom 276.17 Punkte
DevTools architecture refresh: Migrating to JavaScript modules As you might know, Chrome DevTools is a web application written using HTML, CSS and JavaScript. Over the years, DevTools has gotten more feature-rich, smarter and knowledgeable about the broader web platform. While DevTools h

Nebula - Cloud C2 Framework, Which At The Moment Offers Reconnaissance, Enumeration, Exploitation, Post Exploitation On AWS

vom 240.23 Punkte
Nebula is a Cloud and (hopefully) DevOps Penetration Testing framework. It is build with modules for each provider and each functionality. As of April 2021, it only covers AWS, but is currently an ongoing project and hopefully will continue to grow to test

Privateloader/Hacxx Mega Release 1 2020

vom 226.63 Punkte
[IP LOGGER] IP2Email Link Generator - Discover a user ip address remotelyhttp://www.mediafire.com/file/658bvnm6h4...erator.rar [Ready to import] xxx trailers & movies Blog in a WXR File (Wordpress file)http://www.mediafire.com/file/v9p9m2vwpn...-01-07.xml [Site] Encurtador de li

Seccomp Tools - Provide Powerful Tools For Seccomp Analysis

vom 165.76 Punkte
Provide powerful tools for seccomp analysis.This project is targeted to (but not limited to) analyze seccomp sandbox in CTF pwn challenges. Some features might be CTF-specific, but still useful for analyzing seccomp in real-case.Features Dump - Automaticall

HPR2948: Testing with Haskell

vom 162.66 Punkte
Intro I have liked writing automated tests for a long time, so it’s not a surprise that I end up writing them in Haskell too. This is very broad topic, so this episode only scratches the surface. HSpec HSpec is testing framework that automaticall

CSI: The case of the missing WAV audio files on the FAT32 SD Card

vom 161.56 Punkte
Buckle up kids, as this is a tale. As you may know, I have a lovely podcast at https://hanselminutes.com. You should listen. Recently through an number of super cool random events I got the opportunity to interview actor Chris Conner who plays Poe on Altered Carbon. I'm a big fan of the show but espe

Mistica - An Open Source Swiss Army Knife For Arbitrary Communication Over Application Protocols

vom 152.14 Punkte
Mística is a tool that allows to embed data into application layer protocol fields, with the goal of establishing a bi-directional channel for arbitrary communications. Currently, encapsulation into HTTP, DNS and ICMP protocols has been implemented, b