🕵️ dotCMS bis 3.3.0 JSONTags Servlet sort SQL Injection

🕛 Zeit seit Veröffentlichung: 2897 Tage, 5 Stunden 3 Minuten
📆 Veröffentlicht am: 31.10.2016 um 01:00 Uhr
Nachrichtenbereich: 🕵️ Sicherheitslücken
🔗 Quelle: vuldb.com

In dotCMS bis 3.3.0 wurde eine kritische Schwachstelle entdeckt. Dabei geht es um eine unbekannte Funktion der Komponente JSONTags Servlet. Durch das Beeinflussen des Arguments sort mit einer unbekannten Eingabe kann eine SQL Injection-Schwachstelle ausgenutzt werden. Auswirken tut sich dies auf Vertraulichkeit, Integrität und Verfügbarkeit.

Die Schwachstelle wurde am 31.10.2016 durch Elar Lang als Multiple SQL injection vulnerabilities in dotCMS (8x CVE) in Form eines ungeprüften Mailinglist Posts (Full-Disclosure) öffentlich gemacht. Bereitgestellt wird das Advisory unter seclists.org. Die Verwundbarkeit wird als CVE-2016-8905 geführt. Das Ausnutzen gilt als leicht. Der Angriff kann über das Netzwerk angegangen werden. Das Ausnutzen erfordert eine einfache Authentisierung. Technische Details sind bekannt, ein verfügbarer Exploit hingegen nicht.

Mindestens 93 Tage galt die Schwachstelle als nicht öffentlicher Zero-Day. Während dieser Zeit erzielte er wohl etwa $1k-$2k auf dem Schwarzmarkt.

Ein Aktualisieren auf die Version 3.3.1 vermag dieses Problem zu lösen. Das Erscheinen einer Gegenmassnahme geschah schon vor und nicht nach der Veröffentlichung der Schwachstelle. Die Entwickler haben damit vorab gehandelt.

Von weiterem Interesse können die folgenden Einträge sein: 93220, 93221, 93222 und 93224.

CVSSv3

Base Score: 6.3 [?]
Temp Score: 5.8 [?]
Vector: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L/E:X/RL:O/RC:R [?]
Zuverlässigkeit: High

CVSSv2

Base Score: 6.5 (CVSS2#AV:N/AC:L/Au:S/C:P/I:P/A:P) [?]
Temp Score: 5.4 (CVSS2#E:ND/RL:OF/RC:UR) [?]
Zuverlässigkeit: High

CPE

• cpe:/a:dotcms:dotcms:3.3.0

Exploiting

Klasse: SQL Injection
Lokal: Nein
Remote: Ja

Verfügbarkeit: Nein

Aktuelle Preisschätzung: $0-$1k (0-day) / $0-$1k (Heute)

Gegenmassnahmen

Empfehlung: Upgrade
Status: Offizieller Fix
Reaction Time: 93 Tage seit gemeldet
0-Day Time: 93 Tage seit gefunden

Upgrade: dotCMS 3.3.1

Timeline

14.12.2015 Hersteller informiert
14.12.2015 Hersteller bestätigt
16.03.2016 Gegenmassnahme veröffentlicht
31.10.2016 Advisory veröffentlicht
01.11.2016 VulDB Eintrag erstellt
01.11.2016 VulDB letzte Aktualisierung

Quellen

Advisory: Multiple SQL injection vulnerabilities in dotCMS (8x CVE)
Person: Elar Lang
Status: Ungeprüft

CVE: CVE-2016-8905 (mitre.org) (nvd.nist.org) (cvedetails.com)
Siehe auch: 93220, 93221, 93222, 93224, 93225, 93226

Eintrag

Erstellt: 01.11.2016
Eintrag: 76.3% komplett
...