🕵️ dotCMS bis 3.3.0 Templates Pages _EXT_13_orderby SQL Injection

🕛 Zeit seit Veröffentlichung: 2873 Tage, 1 Stunden 58 Minuten
📆 Veröffentlicht am: 31.10.2016 um 01:00 Uhr
Nachrichtenbereich: 🕵️ Sicherheitslücken
🔗 Quelle: vuldb.com

Eine Schwachstelle wurde in dotCMS bis 3.3.0 ausgemacht. Sie wurde als kritisch eingestuft. Es geht hierbei um eine unbekannte Funktion der Komponente Templates Pages. Durch das Manipulieren des Arguments _EXT_13_orderby mit einer unbekannten Eingabe kann eine SQL Injection-Schwachstelle ausgenutzt werden. Auswirkungen hat dies auf Vertraulichkeit, Integrität und Verfügbarkeit.

Die Schwachstelle wurde am 31.10.2016 durch Elar Lang als Multiple SQL injection vulnerabilities in dotCMS (8x CVE) in Form eines ungeprüften Mailinglist Posts (Full-Disclosure) herausgegeben. Auf seclists.org kann das Advisory eingesehen werden. Die Verwundbarkeit wird mit der eindeutigen Identifikation CVE-2016-8903 gehandelt. Sie ist leicht ausnutzbar. Umgesetzt werden kann der Angriff über das Netzwerk. Um eine Ausnutzung durchzusetzen, muss eine einfache Authentisierung umgesetzt werden. Zur Schwachstelle sind technische Details bekannt, ein verfügbarer Exploit jedoch nicht.

Es dauerte mindestens 93 Tage, bis diese Zero-Day Schwachstelle öffentlich gemacht wurde. Während dieser Zeit erzielte er wohl etwa $1k-$2k auf dem Schwarzmarkt.

Ein Aktualisieren auf die Version 3.3.1 vermag dieses Problem zu lösen. Das Erscheinen einer Gegenmassnahme geschah schon vor und nicht nach der Veröffentlichung der Schwachstelle. Die Entwickler haben so vorab gehandelt.

Mit dieser Schwachstelle verwandte Einträge finden sich unter 93220, 93222, 93223 und 93224.

CVSSv3

Base Score: 6.3 [?]
Temp Score: 5.8 [?]
Vector: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L/E:X/RL:O/RC:R [?]
Zuverlässigkeit: High

CVSSv2

Base Score: 6.5 (CVSS2#AV:N/AC:L/Au:S/C:P/I:P/A:P) [?]
Temp Score: 5.4 (CVSS2#E:ND/RL:OF/RC:UR) [?]
Zuverlässigkeit: High

CPE

• cpe:/a:dotcms:dotcms:3.3.0

Exploiting

Klasse: SQL Injection
Lokal: Nein
Remote: Ja

Verfügbarkeit: Nein

Aktuelle Preisschätzung: $0-$1k (0-day) / $0-$1k (Heute)

Gegenmassnahmen

Empfehlung: Upgrade
Status: Offizieller Fix
Reaction Time: 93 Tage seit gemeldet
0-Day Time: 93 Tage seit gefunden

Upgrade: dotCMS 3.3.1

Timeline

14.12.2015 Hersteller informiert
14.12.2015 Hersteller bestätigt
16.03.2016 Gegenmassnahme veröffentlicht
31.10.2016 Advisory veröffentlicht
01.11.2016 VulDB Eintrag erstellt
01.11.2016 VulDB letzte Aktualisierung

Quellen

Advisory: Multiple SQL injection vulnerabilities in dotCMS (8x CVE)
Person: Elar Lang
Status: Ungeprüft

CVE: CVE-2016-8903 (mitre.org) (nvd.nist.org) (cvedetails.com)
Siehe auch: 93220, 93222, 93223, 93224, 93225, 93226

Eintrag

Erstellt: 01.11.2016
Eintrag: 76.3% komplett
...