📚 D-Link DAP-1360 Cross Site Request Forgery

🕛 Zeit seit Veröffentlichung: 2704 Tage, 23 Stunden 2 Minuten
📆 Veröffentlicht am: 30.11.2016 um 01:00 Uhr
💡 Newskategorie: Sicherheitslücken
🔗 Quelle: vuldb.com

Eine Schwachstelle wurde in D-Link DAP-1360 - eine genaue Versionsangabe steht aus - entdeckt. Sie wurde als problematisch eingestuft. Davon betroffen ist eine unbekannte Funktion. Mittels Manipulieren mit einer unbekannten Eingabe kann eine Cross Site Request Forgery-Schwachstelle ausgenutzt werden. Auswirken tut sich dies auf die Integrität.

Die Schwachstelle wurde am 30.11.2016 durch MustLive als New CSRF vulnerabilities in D-Link DAP-1360 in Form eines ungeprüften Mailinglist Posts (Full-Disclosure) herausgegeben. Auf seclists.org kann das Advisory eingesehen werden. Umgesetzt werden kann der Angriff über das Netzwerk. Das Ausnutzen erfordert keine spezifische Authentisierung. Es sind zwar keine technische Details, jedoch ein öffentlicher Exploit zur Schwachstelle bekannt.

Ein öffentlicher Exploit wurde durch MustLive in URL entwickelt und sofort nach dem Advisory veröffentlicht. Er wird als proof-of-concept gehandelt. Der Exploit wird unter seclists.org zur Verfügung gestellt. Es dauerte mindestens 923 Tage, bis diese Zero-Day Schwachstelle öffentlich gemacht wurde. Während dieser Zeit erzielte er wohl etwa $5k-$25k auf dem Schwarzmarkt.

Ein Aktualisieren vermag dieses Problem zu lösen.

CVSSv3

Base Score: 4.3 [?]
Temp Score: 3.7 [?]
Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N/E:P/RL:O/RC:R [?]
Zuverlässigkeit: High

CVSSv2

Base Score: 4.3 (CVSS2#AV:N/AC:M/Au:N/C:N/I:P/A:N) [?]
Temp Score: 3.2 (CVSS2#E:POC/RL:OF/RC:UR) [?]
Zuverlässigkeit: High

CPE

• cpe:/a:d-link:dap-1360

Exploiting

Klasse: Cross Site Request Forgery
Lokal: Nein
Remote: Ja

Verfügbarkeit: Ja
Zugang: öffentlich
Status: Proof-of-Concept
Programmiersprache: URL
Autor: MustLive
Download: seclists.org

Aktuelle Preisschätzung: $0-$5k (0-day) / $0-$5k (Heute)

Gegenmassnahmen

Empfehlung: Upgrade
Status: Offizieller Fix
0-Day Time: 923 Tage seit gefunden
Exploit Delay Time: 0 Tage seit bekannt

Timeline

22.05.2014 Hersteller informiert
30.11.2016 Advisory veröffentlicht
30.11.2016 Exploit veröffentlicht
02.12.2016 VulDB Eintrag erstellt
02.12.2016 VulDB letzte Aktualisierung

Quellen

Advisory: New CSRF vulnerabilities in D-Link DAP-1360
Person: MustLive
Status: Ungeprüft

Eintrag

Erstellt: 02.12.2016
Eintrag: 71% komplett
...