🕵️ Drupal bis 8.1.9 Configuration Export Handler system.temporary Information Disclosure

🕛 Zeit seit Veröffentlichung: 2932 Tage, 4 Stunden 20 Minuten
📆 Veröffentlicht am: 03.10.2016 um 02:00 Uhr
Nachrichtenbereich: 🕵️ Sicherheitslücken
🔗 Quelle: vuldb.com

Es wurde eine problematische Schwachstelle in Drupal bis 8.1.9 ausgemacht. Dabei betrifft es die Funktion system.temporary der Komponente Configuration Export Handler. Mittels dem Manipulieren mit einer unbekannten Eingabe kann eine Information Disclosure-Schwachstelle ausgenutzt werden. Das hat Auswirkungen auf die Vertraulichkeit.

Die Schwachstelle wurde am 03.10.2016 publik gemacht. Die Verwundbarkeit wird unter CVE-2016-7572 geführt. Die Ausnutzbarkeit gilt als leicht. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist eine einfache Authentisierung erforderlich. Es sind zwar technische Details, jedoch kein verfügbarer Exploit zur Schwachstelle bekannt.

Ein Upgrade auf die Version 8.1.10 vermag dieses Problem zu beheben.

Schwachstellen ähnlicher Art sind dokumentiert unter 92326 und 92327.

CVSSv3

Base Score: 4.3 [?]
Temp Score: 4.1 [?]
Vector: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N/E:X/RL:O/RC:X [?]
Zuverlässigkeit: High

CVSSv2

Base Score: 4.0 (CVSS2#AV:N/AC:L/Au:S/C:P/I:N/A:N) [?]
Temp Score: 3.5 (CVSS2#E:ND/RL:OF/RC:ND) [?]
Zuverlässigkeit: High

CPE

• cpe:/a:drupal:drupal:8.1.0
• cpe:/a:drupal:drupal:8.1.1
• cpe:/a:drupal:drupal:8.1.2
• cpe:/a:drupal:drupal:8.1.3
• cpe:/a:drupal:drupal:8.1.4
• cpe:/a:drupal:drupal:8.1.5
• cpe:/a:drupal:drupal:8.1.6
• cpe:/a:drupal:drupal:8.1.7
• cpe:/a:drupal:drupal:8.1.8
• cpe:/a:drupal:drupal:8.1.9

Exploiting

Klasse: Information Disclosure
Lokal: Nein
Remote: Ja

Verfügbarkeit: Nein

Aktuelle Preisschätzung: $0-$1k (0-day) / $0-$1k (Heute)

Gegenmassnahmen

Empfehlung: Upgrade
Status: Offizieller Fix
0-Day Time: 0 Tage seit gefunden

Upgrade: Drupal 8.1.10

Timeline

03.10.2016 Advisory veröffentlicht
04.10.2016 VulDB Eintrag erstellt
04.10.2016 VulDB letzte Aktualisierung

Quellen

CVE: CVE-2016-7572 (mitre.org) (nvd.nist.org) (cvedetails.com)
Siehe auch: 92326, 92327

Eintrag

Erstellt: 04.10.2016
Eintrag: 72.2% komplett
...