Apache OpenMeetings 3.1.0 RMI Registry erweiterte Rechte

Es wurde eine Schwachstelle in Apache OpenMeetings 3.1.0 entdeckt. Sie wurde als kritisch eingestuft. Betroffen hiervon ist eine unbekannte Funktion der Komponente RMI Registry. Durch Beeinflussen mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Dies hat Einfluss auf Vertraulichkeit, Integrität und Verfügbarkeit.

Die Schwachstelle wurde am 13.11.2016 durch Jacob Baines von Tenable als [CVE-2016-8736] Apache Openmeetings RMI Registry Java Deserialization RCE in Form eines bestätigten Mailinglist Posts (Bugtraq) publiziert. Das Advisory kann von vorgenommen. Der Angriff kann über das Netzwerk erfolgen. Technische Details oder ein Exploit zur Schwachstelle sind nicht verfügbar.

Ein Aktualisieren auf die Version 3.1.2 oder 3.1.3 vermag dieses Problem zu lösen.

CVSSv3

Base Score: ≈6.3
Vector: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L/E:X/RL:O/RC:C
Temp Score: ≈5.2 (CVSS2#E:ND/RL:OF/RC:C)

Exploiting

Klasse: Erweiterte Rechte
Lokal: Nein
Remote: Ja

Verfügbarkeit: Nein

Aktuelle Preisschätzung: $0-$5k (0-day) / $0-$5k (Heute)

Gegenmassnahmen

Empfehlung: Upgrade
Status: Offizieller Fix
0-Day Time: 0 Tage seit gefunden

Upgrade: OpenMeetings 3.1.2/3.1.3

Timeline

13.11.2016
14.11.2016
Person: Jacob Baines
Firma: Tenable
Status: Bestätigt
Koordiniert: Ja

CVE: CVE-2016-8736 (cvedetails.com)

Eintrag

Erstellt: 14.11.2016
Eintrag: 74.7% komplett