800+ IT
News
als RSS Feed abonnieren📚 Cherry B.UNLIMITED AES schwache Verschlüsselung
💡 Newskategorie: Sicherheitslücken
🔗 Quelle: vuldb.com
Eine Schwachstelle wurde in Cherry B.UNLIMITED AES - eine genaue Versionsangabe steht aus - entdeckt. Sie wurde als problematisch eingestuft. Hierbei geht es um eine unbekannte Funktion. Dank der Manipulation mit einer unbekannten Eingabe kann eine schwache Verschlüsselung-Schwachstelle ausgenutzt werden. Auswirken tut sich dies auf Vertraulichkeit, Integrität und Verfügbarkeit.
Die Schwachstelle wurde am 30.09.2016 durch Matthias Deeg und Gerhard Klostermeier in Form eines ungeprüften Mailinglist Posts (Full-Disclosure) herausgegeben. Auf seclists.org kann das Advisory eingesehen werden. Umgesetzt werden muss der Angriff lokal. Das Ausnutzen erfordert keine spezifische Authentisierung. Es sind zwar keine technische Details, jedoch ein öffentlicher Exploit zur Schwachstelle bekannt.
Ein öffentlicher Exploit wurde durch Matthias Deeg/Gerhard Klostermeier programmiert und sofort nach dem Advisory veröffentlicht. Er wird als proof-of-concept gehandelt. Unter seclists.org wird der Exploit zur Verfügung gestellt. Es dauerte mindestens 94 Tage, bis diese Zero-Day Schwachstelle öffentlich gemacht wurde. Während dieser Zeit erzielte er wohl etwa $0-$1k auf dem Schwarzmarkt.
Es sind keine Informationen bezüglich Gegenmassnahmen bekannt. Der Einsatz eines alternativen Produkts bietet sich im Zweifelsfall an.
CVSSv3
Base Score: 5.9 [?]Temp Score: 5.4 [?]
Vector: CVSS:3.0/AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L/E:P/RL:X/RC:R [?]
Zuverlässigkeit: High
CVSSv2
Base Score: 4.4 (CVSS2#AV:L/AC:M/Au:N/C:P/I:P/A:P) [?]Temp Score: 3.8 (CVSS2#E:POC/RL:ND/RC:UR) [?]
Zuverlässigkeit: High
CPE
Exploiting
Klasse: Schwache VerschlüsselungLokal: Ja
Remote: Nein
Verfügbarkeit: Ja
Zugang: öffentlich
Status: Proof-of-Concept
Autor: Matthias Deeg/Gerhard Klostermeier
Download: seclists.org
Aktuelle Preisschätzung: $0-$1k (0-day) / $0-$1k (Heute)
Gegenmassnahmen
Empfehlung: keine Massnahme bekannt0-Day Time: 94 Tage seit gefunden
Exploit Delay Time: 0 Tage seit bekannt
Timeline
28.06.2016 Hersteller informiert30.09.2016 Advisory veröffentlicht
30.09.2016 Exploit veröffentlicht
01.10.2016 VulDB Eintrag erstellt
01.10.2016 VulDB letzte Aktualisierung
Quellen
Advisory: seclists.orgPerson: Matthias Deeg/Gerhard Klostermeier
Status: Ungeprüft
Eintrag
Erstellt: 01.10.2016Eintrag: 74.7% komplett
...