📚 Apache Tomcat bis 6.0.45/7.0.70/8.0.36/8.5.4/9.0.0.M9 Realm Authentication User Information Disclosure

🕛 Zeit seit Veröffentlichung: 2778 Tage, 17 Stunden 21 Minuten
📆 Veröffentlicht am: 27.10.2016 um 02:00 Uhr
💡 Newskategorie: Sicherheitslücken
🔗 Quelle: vuldb.com

Eine problematische Schwachstelle wurde in Apache Tomcat bis 6.0.45/7.0.70/8.0.36/8.5.4/9.0.0.M9 gefunden. Hierbei geht es um eine unbekannte Funktion der Komponente Realm Authentication. Mittels Manipulieren mit einer unbekannten Eingabe kann eine Information Disclosure-Schwachstelle (User) ausgenutzt werden. Dies hat Einfluss auf die Vertraulichkeit.

Die Schwachstelle wurde am 27.10.2016 in Form eines bestätigten Advisories (Website) herausgegeben. Auf tomcat.apache.org kann das Advisory eingesehen werden. Die Verwundbarkeit wird mit der eindeutigen Identifikation CVE-2016-0762 gehandelt. Umgesetzt werden kann der Angriff über das Netzwerk. Das Ausnutzen erfordert keine spezifische Authentisierung. Technische Details oder ein Exploit zur Schwachstelle sind nicht verfügbar. Ein Exploit zur Schwachstelle wird momentan etwa USD $1k-$2k kosten.

Ein Aktualisieren auf die Version 6.0.47, 7.0.72, 8.0.37, 8.5.5 oder 9.0.0.M10 vermag dieses Problem zu lösen.

Mitunter wird der Fehler auch in der Verwundbarkeitsdatenbank von SecurityTracker (ID 1037144) dokumentiert. Mit dieser Schwachstelle verwandte Einträge finden sich unter 13383, 13384, 13385 und 13386.

CVSSv3

Base Score: 5.3 [?]
Temp Score: 5.1 [?]
Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N/E:X/RL:O/RC:C [?]
Zuverlässigkeit: High

CVSSv2

Base Score: 4.3 (CVSS2#AV:N/AC:M/Au:N/C:P/I:N/A:N) [?]
Temp Score: 3.7 (CVSS2#E:ND/RL:OF/RC:C) [?]
Zuverlässigkeit: High

CPE

• cpe:/a:apache:tomcat:6.0.45
• cpe:/a:apache:tomcat:7.0.70
• cpe:/a:apache:tomcat:8.0.36
• cpe:/a:apache:tomcat:8.5.4
• cpe:/a:apache:tomcat:9.0.0.m9

Exploiting

Klasse: Information Disclosure
Lokal: Nein
Remote: Ja

Verfügbarkeit: Nein

Aktuelle Preisschätzung: $0-$1k (0-day) / $0-$1k (Heute)

Gegenmassnahmen

Empfehlung: Upgrade
Status: Offizieller Fix
0-Day Time: 0 Tage seit gefunden

Upgrade: Tomcat 6.0.47/7.0.72/8.0.37/8.5.5/9.0.0.M10

Timeline

27.10.2016 Advisory veröffentlicht
28.10.2016 SecurityTracker Eintrag erstellt
31.10.2016 VulDB Eintrag erstellt
31.10.2016 VulDB letzte Aktualisierung

Quellen

Advisory: tomcat.apache.org
Status: Bestätigt

CVE: CVE-2016-0762 (mitre.org) (nvd.nist.org) (cvedetails.com)

SecurityTracker: 1037144 - Apache Tomcat Realm Authentication Timing Lets Remote Users Determine Valid Usernames on the Target System

Siehe auch: 13383, 13384, 13385, 13386, 13387, 93206, 93207, 93208, 93210

Eintrag

Erstellt: 31.10.2016
Eintrag: 76.8% komplett
...