🕵️ dotCMS bis 3.3.0 Containers Pages _EXT_12_orderby SQL Injection

🕛 Zeit seit Veröffentlichung: 2897 Tage, 4 Stunden 20 Minuten
📆 Veröffentlicht am: 31.10.2016 um 01:00 Uhr
Nachrichtenbereich: 🕵️ Sicherheitslücken
🔗 Quelle: vuldb.com

Es wurde eine kritische Schwachstelle in dotCMS bis 3.3.0 entdeckt. Es geht dabei um eine unbekannte Funktion der Komponente Containers Pages. Durch Manipulieren des Arguments _EXT_12_orderby mit einer unbekannten Eingabe kann eine SQL Injection-Schwachstelle ausgenutzt werden. Auswirkungen sind zu beobachten für Vertraulichkeit, Integrität und Verfügbarkeit.

Die Schwachstelle wurde am 31.10.2016 durch Elar Lang als Multiple SQL injection vulnerabilities in dotCMS (8x CVE) in Form eines ungeprüften Mailinglist Posts (Full-Disclosure) publik gemacht. Das Advisory kann von seclists.org heruntergeladen werden. Die Verwundbarkeit wird unter CVE-2016-8904 geführt. Sie ist leicht auszunutzen. Der Angriff kann über das Netzwerk erfolgen. Das Angehen einer einfachen Authentisierung ist erforderlich, um eine Ausnutzung anzugehen. Es sind zwar technische Details, jedoch kein verfügbarer Exploit zur Schwachstelle bekannt.

Insgesamt wurde die Schwachstelle mindestens 93 Tage als nicht öffentlicher Zero-Day gehandelt. Während dieser Zeit erzielte er wohl etwa $1k-$2k auf dem Schwarzmarkt.

Ein Upgrade auf die Version 3.3.1 vermag dieses Problem zu beheben. Das Erscheinen einer Gegenmassnahme geschah schon vor und nicht nach der Veröffentlichung der Schwachstelle. Die Entwickler haben also vorab reagiert.

Die Einträge 93220, 93221, 93223 und 93224 sind sehr ähnlich.

CVSSv3

Base Score: 6.3 [?]
Temp Score: 5.8 [?]
Vector: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L/E:X/RL:O/RC:R [?]
Zuverlässigkeit: High

CVSSv2

Base Score: 6.5 (CVSS2#AV:N/AC:L/Au:S/C:P/I:P/A:P) [?]
Temp Score: 5.4 (CVSS2#E:ND/RL:OF/RC:UR) [?]
Zuverlässigkeit: High

CPE

• cpe:/a:dotcms:dotcms:3.3.0

Exploiting

Klasse: SQL Injection
Lokal: Nein
Remote: Ja

Verfügbarkeit: Nein

Aktuelle Preisschätzung: $0-$1k (0-day) / $0-$1k (Heute)

Gegenmassnahmen

Empfehlung: Upgrade
Status: Offizieller Fix
Reaction Time: 93 Tage seit gemeldet
0-Day Time: 93 Tage seit gefunden

Upgrade: dotCMS 3.3.1

Timeline

14.12.2015 Hersteller informiert
14.12.2015 Hersteller bestätigt
16.03.2016 Gegenmassnahme veröffentlicht
31.10.2016 Advisory veröffentlicht
01.11.2016 VulDB Eintrag erstellt
01.11.2016 VulDB letzte Aktualisierung

Quellen

Advisory: Multiple SQL injection vulnerabilities in dotCMS (8x CVE)
Person: Elar Lang
Status: Ungeprüft

CVE: CVE-2016-8904 (mitre.org) (nvd.nist.org) (cvedetails.com)
Siehe auch: 93220, 93221, 93223, 93224, 93225, 93226

Eintrag

Erstellt: 01.11.2016
Eintrag: 76.3% komplett
...