🕵️ dotCMS bis 3.3.0 HTML Pages _EXT_15_orderby SQL Injection

🕛 Zeit seit Veröffentlichung: 2897 Tage, 3 Stunden 47 Minuten
📆 Veröffentlicht am: 31.10.2016 um 01:00 Uhr
Nachrichtenbereich: 🕵️ Sicherheitslücken
🔗 Quelle: vuldb.com

In dotCMS bis 3.3.0 wurde eine kritische Schwachstelle gefunden. Das betrifft eine unbekannte Funktion der Komponente HTML Pages. Dank Manipulation des Arguments _EXT_15_orderby mit einer unbekannten Eingabe kann eine SQL Injection-Schwachstelle ausgenutzt werden. Dies wirkt sich aus auf Vertraulichkeit, Integrität und Verfügbarkeit.

Die Schwachstelle wurde am 31.10.2016 durch Elar Lang als Multiple SQL injection vulnerabilities in dotCMS (8x CVE) in Form eines ungeprüften Mailinglist Posts (Full-Disclosure) an die Öffentlichkeit getragen. Bereitgestellt wird das Advisory unter seclists.org. Eine eindeutige Identifikation der Schwachstelle wird mit CVE-2016-8908 vorgenommen. Sie gilt als leicht auszunutzen. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Das Angehen einer einfachen Authentisierung ist erforderlich, um eine Ausnutzung anzugehen. Technische Details sind bekannt, ein verfügbarer Exploit hingegen nicht.

Insgesamt 93 Tage schien es sich um eine nicht veröffentlichte Zero-Day Schwachstelle gehandelt zu haben. Während dieser Zeit erzielte er wohl etwa $1k-$2k auf dem Schwarzmarkt.

Ein Upgrade auf die Version 3.3.1 vermag dieses Problem zu beheben. Das Erscheinen einer Gegenmassnahme geschah schon vor und nicht nach der Veröffentlichung der Schwachstelle. Die Entwickler haben folglich vorab reagiert.

Die Einträge 93220, 93221, 93222 und 93223 sind sehr ähnlich.

CVSSv3

Base Score: 6.3 [?]
Temp Score: 5.8 [?]
Vector: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L/E:X/RL:O/RC:R [?]
Zuverlässigkeit: High

CVSSv2

Base Score: 6.5 (CVSS2#AV:N/AC:L/Au:S/C:P/I:P/A:P) [?]
Temp Score: 5.4 (CVSS2#E:ND/RL:OF/RC:UR) [?]
Zuverlässigkeit: High

CPE

• cpe:/a:dotcms:dotcms:3.3.0

Exploiting

Klasse: SQL Injection
Lokal: Nein
Remote: Ja

Verfügbarkeit: Nein

Aktuelle Preisschätzung: $0-$1k (0-day) / $0-$1k (Heute)

Gegenmassnahmen

Empfehlung: Upgrade
Status: Offizieller Fix
Reaction Time: 93 Tage seit gemeldet
0-Day Time: 93 Tage seit gefunden

Upgrade: dotCMS 3.3.1

Timeline

14.12.2015 Hersteller informiert
14.12.2015 Hersteller bestätigt
16.03.2016 Gegenmassnahme veröffentlicht
31.10.2016 Advisory veröffentlicht
01.11.2016 VulDB Eintrag erstellt
01.11.2016 VulDB letzte Aktualisierung

Quellen

Advisory: Multiple SQL injection vulnerabilities in dotCMS (8x CVE)
Person: Elar Lang
Status: Ungeprüft

CVE: CVE-2016-8908 (mitre.org) (nvd.nist.org) (cvedetails.com)
Siehe auch: 93220, 93221, 93222, 93223, 93224, 93225

Eintrag

Erstellt: 01.11.2016
Eintrag: 76.3% komplett
...