800+ IT
News
als RSS Feed abonnieren📚 H2O bis 1.6.1/1.7.0-beta2 lib/handler/redirect.c on_req erweiterte Rechte
💡 Newskategorie: Sicherheitslücken
🔗 Quelle: scip.ch
Allgemein
scipID: 80286
Betroffen: H2O bis 1.6.1/1.7.0-beta2
Veröffentlicht: 16.01.2016
Risiko: kritisch
Erstellt: 17.01.2016
Eintrag: 66.8% komplett
Beschreibung
Es wurde eine kritische Schwachstelle in H2O bis 1.6.1/1.7.0-beta2 ausgemacht. Hiervon betroffen ist die Funktion on_req der Bibliothek lib/handler/redirect.c. Durch Manipulieren mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle (CRLF) ausgenutzt werden. Auswirkungen sind zu beobachten für Vertraulichkeit, Integrität und Verfügbarkeit. CVE fasst zusammen:
CRLF injection vulnerability in the on_req function in lib/handler/redirect.c in H2O before 1.6.2 and 1.7.x before 1.7.0-beta3 allows remote attackers to inject arbitrary HTTP headers and conduct HTTP response splitting attacks via a crafted URI.
Die Schwachstelle wurde am 16.01.2016 publik gemacht. Die Verwundbarkeit wird unter CVE-2016-1133 geführt. Der Angriff kann über das Netzwerk erfolgen. Es sind zwar technische Details, jedoch kein verfügbarer Exploit zur Schwachstelle bekannt.
Ein Upgrade auf die Version 1.6.2 oder 1.7.0-beta3 vermag dieses Problem zu beheben.CVSS
Base Score: 6.0 (CVSS2#AV:N/AC:M/Au:S/C:P/I:P/A:P) [?]
Temp Score: 5.2 (CVSS2#E:ND/RL:OF/RC:ND) [?]
CPE
Exploiting
Klasse: Erweiterte Rechte
Lokal: Nein
Remote: Ja
Verfügbarkeit: Nein
Aktuelle Preisschätzung: $2k-$5k (0-day) / $0-$1k (Heute)
Gegenmassnahmen
Empfehlung: Upgrade
Status: Offizieller Fix
0-Day Time: 0 Tage seit gefunden
Upgrade: H2O 1.6.2/1.7.0-beta3
Timeline
16.01.2016 | Advisory veröffentlicht
17.01.2016 | VulDB Eintrag erstellt
17.01.2016 | VulDB Eintrag aktualisiert
Quellen
CVE: CVE-2016-1133 (mitre.org) (nvd.nist.org) (cvedetails.com)
...