🕵️ Observium Network Monitor Feed /html/feed.php schwache Authentisierung

🕛 Zeit seit Veröffentlichung: 2859 Tage, 0 Stunden 3 Minuten
📆 Veröffentlicht am: 10.11.2016 um 01:00 Uhr
Nachrichtenbereich: 🕵️ Sicherheitslücken
🔗 Quelle: vuldb.com

Eine problematische Schwachstelle wurde in Observium Network Monitor - eine genaue Versionsangabe steht aus - gefunden. Hierbei geht es um eine unbekannte Funktion der Datei /html/feed.php der Komponente Feed. Durch die Manipulation mit einer unbekannten Eingabe kann eine schwache Authentisierung-Schwachstelle ausgenutzt werden. Dies hat Einfluss auf die Vertraulichkeit.

Gefunden wurde das Problem am 01.09.2016. Die Schwachstelle wurde am 10.11.2016 durch Ronald Volgers als [CT-2016-1110] Unauthenticated RCE in Observium network monitor in Form eines bestätigten Mailinglist Posts (Full-Disclosure) herausgegeben. Auf seclists.org kann das Advisory eingesehen werden. Eine Veröffentlichung wurde in Zusammenarbeit mit Observium angestrebt. Umgesetzt werden kann der Angriff über das Netzwerk. Das Ausnutzen erfordert keine spezifische Authentisierung. Zur Schwachstelle sind technische Details bekannt, ein verfügbarer Exploit jedoch nicht. Der folgende Code ist die Ursache des Problems:

if (isset($_GET['hash']) && is_numeric($_GET['id']))
{
 $key = get_user_pref($_GET['id'], 'atom_key');
 $data = explode('|', decrypt($_GET['hash'], $key)); // user_id|user_level|auth_mechanism

 $user_id    = $data[0];
 $user_level = $data[1]; // FIXME, need new way for check userlevel, because it can be changed
 if (count($data) == 3)
 {
   $check_auth_mechanism = $config['auth_mechanism'] == $data[2];
 } else {
   $check_auth_mechanism = TRUE; // Old way
 }

 if ($user_id == $_GET['id'] && $check_auth_mechanism)
 {
   session_start();
   $_SESSION['user_id']   = $user_id;
   $_SESSION['userlevel'] = $user_level;

Es dauerte mindestens 55 Tage, bis diese Zero-Day Schwachstelle öffentlich gemacht wurde. Während dieser Zeit erzielte er wohl etwa $1k-$2k auf dem Schwarzmarkt.

Ein Aktualisieren vermag dieses Problem zu lösen. Das Erscheinen einer Gegenmassnahme geschah vor und nicht erst nach der Veröffentlichung der Schwachstelle. Observium hat so vorgängig gehandelt.

Mit dieser Schwachstelle verwandte Einträge finden sich unter 93567, 93568 und 93570.

CVSSv3

Base Score: 5.3 [?]
Temp Score: 5.1 [?]
Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N/E:X/RL:O/RC:C [?]
Zuverlässigkeit: High

CVSSv2

Base Score: 4.3 (CVSS2#AV:N/AC:M/Au:N/C:P/I:N/A:N) [?]
Temp Score: 3.7 (CVSS2#E:ND/RL:OF/RC:C) [?]
Zuverlässigkeit: High

CPE

• cpe:/a:observium:network_monitor

Exploiting

Klasse: Schwache Authentisierung
Lokal: Nein
Remote: Ja

Verfügbarkeit: Nein

Aktuelle Preisschätzung: $0-$1k (0-day) / $0-$1k (Heute)

Gegenmassnahmen

Empfehlung: Upgrade
Status: Offizieller Fix
Reaction Time: 5 Tage seit gemeldet
0-Day Time: 55 Tage seit gefunden

Timeline

01.09.2016 Schwachstelle gefunden
21.10.2016 Hersteller informiert
21.10.2016 Hersteller bestätigt
26.10.2016 Gegenmassnahme veröffentlicht
10.11.2016 Advisory veröffentlicht
11.11.2016 VulDB Eintrag erstellt
11.11.2016 VulDB letzte Aktualisierung

Quellen

Advisory: [CT-2016-1110] Unauthenticated RCE in Observium network monitor
Person: Ronald Volgers
Status: Bestätigt
Koordiniert: Ja
Siehe auch: 93567, 93568, 93570

Eintrag

Erstellt: 11.11.2016
Eintrag: 77.3% komplett
...