2.1 CVE-2011-2176
GNOME NetworkManager vor 0.8.6 erzwingt das auth_admin-Element in PolicyKit nicht richtig, was lokalen Benutzern erlaubt, beabsichtigte Einschränkungen der drahtlosen Netzwerkfreigabe über nicht spezifizierte Vektoren zu umgehen.
https://nvd.nist.gov/vuln/detail/CVE-2011-2176
Kategorien
CWE-287 : Falsche Authentifizierung
Wenn ein Akteur behauptet, eine bestimmte Identität zu haben, beweist das Produkt nicht oder nur unzureichend, dass die Behauptung richtig ist. Ein alternativer Begriff ist "authentification", der anscheinend am häufigsten von Personen aus nicht englischsprachigen Ländern verwendet wird. "AuthN" wird in der Regel als Abkürzung für "Authentifizierung" in der Gemeinschaft der Webanwendungssicherheit verwendet. Es unterscheidet sich auch von "AuthZ,", das eine Abkürzung für "authorization." ist. Von der Verwendung von "Auth" als Abkürzung wird abgeraten, da sie sowohl für die Authentifizierung als auch für die Autorisierung verwendet werden kann. "AuthC" wird als Abkürzung für "Authentifizierung," verwendet, scheint aber weniger häufig verwendet zu werden als "AuthN." Verwenden Sie ein Authentifizierungs-Framework oder eine Bibliothek wie die OWASP ESAPI-Authentifizierungsfunktion. Der Python-basierte Authentifizierungs-Proxy erzwingt keine Passwort-Authentifizierung während des ersten Handshakes und ermöglicht es dem Client, die Authentifizierung zu umgehen, indem er einen "None"-Authentifizierungstyp angibt. Kette: Web UI für ein Python-RPC-Framework verwendet keine Regex-Anker zur Validierung von Benutzeranmeldungs-E-Mails (CWE-777), was möglicherweise eine Umgehung von OAuth ermöglicht (CWE-1390). TCP-basiertes Protokoll in speicherprogrammierbarer Steuerung (SPS) hat keine Authentifizierung. Condition Monitor verwendet ein Protokoll, das keine Authentifizierung erfordert. Safety Instrumented System verwendet proprietäre TCP-Protokolle ohne Authentifizierung. Verteiltes Steuerungssystem (DCS) verwendet ein Protokoll ohne Authentifizierung. Das SCADA-System verwendet nur eine clientseitige Authentifizierung, die es Angreifern ermöglicht, sich als andere Benutzer auszugeben. Kette: Python-basierter HTTP-Proxy-Server verwendet die falschen booleschen Operatoren (CWE-480), was zu einem falschen Vergleich führt (CWE-697), der einen authN-Fehler identifiziert, wenn alle drei Bedingungen erfüllt sind, anstatt nur eine, wodurch die Proxy-Authentifizierung umgangen werden kann (CWE-1390): Cloud-Computing-Virtualisierungsplattform erfordert keine Authentifizierung für das Hochladen einer Datei im Tar-Format (CWE-306) und verwendet dann ... Pfadüberquerungssequenzen (CWE-23) in der Datei, um auf unerwartete Dateien zuzugreifen, wie es in freier Wildbahn per CISA KEV ausgenutzt wurde. Das IT-Management-Produkt führt für einige REST-API-Anforderungen keine Authentifizierung durch, was laut CISA KEV in freier Wildbahn ausgenutzt wurde. Die Standardeinstellung im Workflow-Management-Produkt erlaubt alle API-Anfragen ohne Authentifizierung, was laut CISA KEV in freier Wildbahn ausgenutzt wurde. Stack-basierte Pufferüberläufe in SFK für WiFi-Chipsätze, die für IoT/eingebettete Geräte verwendet werden, wie in freier Wildbahn gemäß CISA KEV ausgenutzt wurde. Mail-Server prüft ein Zugriffstoken nicht ordnungsgemäß, bevor ein Powershell-Befehl ausgeführt wird; dies wurde im Rahmen der CISA KEV ausgenutzt. Chain: Der Benutzer wird nicht zur Eingabe eines zweiten Authentifizierungsfaktors aufgefordert (CWE-287), wenn er die Groß-/Kleinschreibung seines Benutzernamens ändert (CWE-178); dies wurde im Rahmen von CISA KEV ausgenutzt. Umgehung der Authentifizierung durch Anhängen spezifischer Parameter und Werte an einen URI, wie in freier Wildbahn durch CISA KEV ausgenutzt. Mail-Server generiert während der Installation keinen eindeutigen Schlüssel, was laut CISA KEV in freier Wildbahn ausgenutzt werden kann. Das LDAP-Go-Paket ermöglicht die Umgehung der Authentifizierung mit einem leeren Passwort, was zu einer nicht authentifizierten LDAP-Bindung führt. Das Login-Skript für das Gästebuch ermöglicht die Umgehung der Authentifizierung, indem ein "login_ok"-Parameter auf 1 gesetzt wird. Das Admin-Skript ermöglicht die Umgehung der Authentifizierung, indem ein Cookie-Wert auf "LOGGEDIN" gesetzt wird. Das VOIP-Produkt ermöglicht die Umgehung der Authentifizierung durch die Verwendung von 127.0.0.1 im Host-Header. Das Produkt verwendet die Standardaktion "Allow" anstelle der Standardaktion deny, was zur Umgehung der Authentifizierung führt. chain: redirect without exit (CWE-698) führt zur Umgehung der Authentifizierung. Das Produkt schränkt den Zugriff auf einen abhörenden Port für einen kritischen Dienst nicht ein, wodurch die Authentifizierung umgangen werden kann. Das Produkt implementiert eine sicherheitsrelevante Konfigurationseinstellung nicht ordnungsgemäß, wodurch die Authentifizierung umgangen werden kann. Die Authentifizierungsroutine gibt in einigen Situationen "nil" statt "false" zurück, wodurch die Authentifizierung mit einem ungültigen Benutzernamen umgangen werden kann. Das Skript für die Aktualisierung der Authentifizierung geht nicht richtig damit um, wenn der Administrator keine Authentifizierungsmodule auswählt, wodurch die Authentifizierung umgangen werden kann. Die Verwendung der LDAP-Authentifizierung mit anonymen Bindungen führt dazu, dass ein leeres Passwort zu einer erfolgreichen Authentifizierung führt. Die Produktauthentifizierung ist erfolgreich, wenn der vom Benutzer bereitgestellte MD5-Hash mit dem Hash in der Datenbank übereinstimmt; dies kann Gegenstand von Replay-Angriffen sein. Kette: Das Produkt generiert vorhersehbare MD5-Hashes, indem es einen konstanten Wert mit dem Benutzernamen kombiniert, wodurch die Authentifizierung umgangen werden kann.
Referenzen
CONFIRM
FEDORA
MANDRIVA
REDHAT
SECTRACK
SECUNIA
CPE
| cpe |
start |
ende |
| Configuration 1 |
| cpe:2.3:a:gnome:networkmanager:0.2.0:*:*:*:*:*:*:* |
|
|
| cpe:2.3:a:gnome:networkmanager:0.3.0:*:*:*:*:*:*:* |
|
|
| cpe:2.3:a:gnome:networkmanager:0.3.1:*:*:*:*:*:*:* |
|
|
| cpe:2.3:a:gnome:networkmanager:0.4.1:*:*:*:*:*:*:* |
|
|
| cpe:2.3:a:gnome:networkmanager:0.5.0:*:*:*:*:*:*:* |
|
|
| cpe:2.3:a:gnome:networkmanager:0.5.1:*:*:*:*:*:*:* |
|
|
| cpe:2.3:a:gnome:networkmanager:0.6.0:*:*:*:*:*:*:* |
|
|
| cpe:2.3:a:gnome:networkmanager:0.6.1:*:*:*:*:*:*:* |
|
|
| cpe:2.3:a:gnome:networkmanager:0.6.2:*:*:*:*:*:*:* |
|
|
| cpe:2.3:a:gnome:networkmanager:0.6.6:*:*:*:*:*:*:* |
|
|
| cpe:2.3:a:gnome:networkmanager:0.7.0:*:*:*:*:*:*:* |
|
|
| cpe:2.3:a:gnome:networkmanager:0.7.1:*:*:*:*:*:*:* |
|
|
| cpe:2.3:a:gnome:networkmanager:0.7.2:*:*:*:*:*:*:* |
|
|
| cpe:2.3:a:gnome:networkmanager:0.8.1:*:*:*:*:*:*:* |
|
|
| cpe:2.3:a:gnome:networkmanager:0.8.2:*:*:*:*:*:*:* |
|
|
| cpe:2.3:a:gnome:networkmanager:*:*:*:*:*:*:*:* |
|
<= 0.8.4 |
REMEDIERUNG
EXPLOITS
Exploit-db.com
| id |
beschreibung |
datum |
|
| Keine bekannten Exploits |
Andere (github, ...)
| Url |
| Keine bekannten Exploits |
CAPEC
Common Attack Pattern Enumerations and Classifications
| id |
beschreibung |
schweregrad |
| 114 |
Authentication Abuse
Ein Angreifer verschafft sich unbefugten Zugang zu einer Anwendung, einem Dienst oder einem Gerät, indem er entweder die inhärenten Schwächen eines Authentifizierungsmechanismus kennt oder eine Schwachstelle in der Implementierung des Authentifizierungssystems ausnutzt. Bei einem solchen Angriff funktioniert ein Authentifizierungsmechanismus, aber eine sorgfältig gesteuerte Abfolge von Ereignissen führt dazu, dass der Mechanismus dem Angreifer Zugang gewährt. |
Mittel |
| 115 |
Authentication Bypass
Ein Angreifer verschafft sich Zugang zu einer Anwendung, einem Dienst oder einem Gerät mit den Rechten eines autorisierten oder privilegierten Benutzers, indem er einen Authentifizierungsmechanismus umgeht oder umgeht. Der Angreifer kann also auf geschützte Daten zugreifen, ohne dass jemals eine Authentifizierung stattgefunden hat. |
Mittel |
| 151 |
Identity Spoofing
Unter Identitätsspoofing versteht man das Annehmen der Identität einer anderen (menschlichen oder nicht-menschlichen) Entität und die anschließende Nutzung dieser Identität, um ein Ziel zu erreichen. Ein Angreifer kann Nachrichten erstellen, die von einem anderen Prinzip zu stammen scheinen, oder gestohlene/gefälschte Authentifizierungsdaten verwenden. |
Mittel |
| 194 |
Fake the Source of Data
Ein Angreifer nutzt eine unzulässige Authentifizierung aus, um Daten oder Dienste unter einer gefälschten Identität bereitzustellen. Der Zweck der Verwendung der gefälschten Identität kann darin bestehen, die Rückverfolgbarkeit der bereitgestellten Daten zu verhindern oder die einer anderen Person gewährten Rechte zu übernehmen. Eine der einfachsten Formen dieses Angriffs wäre die Erstellung einer E-Mail-Nachricht mit einem geänderten "Absender"-Feld, um den Anschein zu erwecken, dass die Nachricht von einer anderen Person als dem tatsächlichen Absender gesendet wurde. Die Wurzel des Angriffs (in diesem Fall das E-Mail-System) kann die Quelle nicht richtig authentifizieren, was dazu führt, dass der Leser die angeforderte Aktion fälschlicherweise ausführt. Die Ergebnisse des Angriffs variieren je nach den Details des Angriffs, aber zu den üblichen Ergebnissen gehören Privilegienerweiterung, Verschleierung anderer Angriffe und Datenbeschädigung/-manipulation. |
Mittel |
| 22 |
Exploiting Trust in Client
Ein Angriff dieser Art nutzt Schwachstellen in der Authentifizierung und Datenintegrität des Client/Server-Kommunikationskanals aus. Er nutzt das implizite Vertrauen aus, das ein Server in den Client setzt, oder, noch wichtiger, in das, was der Server für den Client hält. Ein Angreifer führt diese Art von Angriff aus, indem er direkt mit dem Server kommuniziert, wobei der Server glaubt, dass er nur mit einem gültigen Client kommuniziert. Es gibt zahlreiche Variationen dieser Art von Angriff. |
Hoch |
| 57 |
Utilizing REST's Trust in the System Resource to Obtain Sensitive Data
Dieser Angriff nutzt das Vertrauen einer REST(REpresentational State Transfer)-Anwendung in die Systemressourcen und -umgebung, um an sensible Daten zu gelangen, sobald SSL beendet ist. [Der Angreifer muss zunächst eine REST-Anwendung finden, die SSL verwendet, um sie anzugreifen. Da dieser Angriff leichter innerhalb eines Servernetzwerks durchgeführt werden kann, ist es wahrscheinlich, dass ein Angreifer über Insiderwissen über die Funktionsweise der Dienste verfügt. [Der Angreifer fügt einen Listener ein, um die Client-Server-Kommunikation abzuhören, der über den Punkt hinaus existieren muss, an dem SSL beendet wird. Dieser kann auf der Client-Seite platziert werden, wenn angenommen wird, dass sensible Informationen als Antwort an den Client gesendet werden, obwohl der Lauscher in den meisten Fällen auf der Server-Seite platziert wird, um nach Client-Authentifizierungsinformationen zu lauschen. [Wenn die Entwickler die in der gesnifften Anfrage gesendeten Daten nicht gehasht oder verschlüsselt haben, kann der Angreifer diese Daten im Klartext lesen. In den meisten Fällen verfügen sie nun über einen Benutzernamen oder ein Kennwort, mit dem sie wie ein autorisierter Benutzer Anfragen an den Webdienst senden können. |
Sehr hoch |
| 593 |
Session Hijacking
Bei dieser Art von Angriff nutzt ein Angreifer Schwachstellen in der Verwendung von Sitzungen durch eine Anwendung bei der Authentifizierung aus. Der Angreifer ist in der Lage, eine aktive Sitzung zu stehlen oder zu manipulieren und sie zu nutzen, um sich unberechtigten Zugang zur Anwendung zu verschaffen. [Vorhandenes Sitzungs-Token entdecken] Ein Angreifer entdeckt und speichert auf verschiedene Weise ein vorhandenes Sitzungs-Token für eine andere authentifizierte Benutzersitzung. [Insert Found Session Token] Der Angreifer versucht, ein gefundenes Session Token in die Kommunikation mit der Zielanwendung einzufügen, um die Ausnutzbarkeit zu bestätigen. [Session Token Exploitation] Der Angreifer nutzt das erbeutete Session Token, um mit der Zielanwendung auf bösartige Weise zu interagieren und sich als das Opfer auszugeben. |
Sehr hoch |
| 633 |
Token Impersonation
Ein Angreifer nutzt eine Schwäche in der Authentifizierung aus, um ein Zugriffstoken (oder ein Äquivalent) zu erstellen, das sich als eine andere Entität ausgibt, und verknüpft dann einen Prozess/Thread mit diesem verkörperten Token. Diese Aktion veranlasst einen nachgeschalteten Benutzer, eine Entscheidung zu treffen oder eine Aktion durchzuführen, die auf der angenommenen Identität basiert und nicht auf der Antwort, die den Angreifer blockiert. |
Mittel |
| 650 |
Upload a Web Shell to a Web Server
Durch Ausnutzung unzureichender Berechtigungen ist es möglich, eine Web-Shell so auf einen Webserver hochzuladen, dass sie aus der Ferne ausgeführt werden kann. Diese Shell kann über verschiedene Funktionen verfügen und so als "Gateway" zum zugrunde liegenden Webserver fungieren. Die Shell kann auf der höheren Berechtigungsebene des Webservers ausgeführt werden und bietet so die Möglichkeit, bösartigen Code auf höherer Ebene auszuführen. |
Hoch |
| 94 |
Widersacher in der Mitte (AiTM)
[Kommunikationsmechanismus bestimmen] Der Angreifer bestimmt die Art und den Mechanismus der Kommunikation zwischen zwei Komponenten und sucht nach Möglichkeiten, diese auszunutzen. [Zwischen den Zielen positionieren] Der Angreifer schaltet sich in den Kommunikationskanal ein und fungiert zunächst als Routing-Vertreter zwischen den beiden Zielkomponenten. [Abgefangene Daten böswillig verwenden] Der Angreifer beobachtet, filtert oder verändert weitergegebene Daten seiner Wahl, um sich Zugang zu sensiblen Informationen zu verschaffen oder die Aktionen der beiden Zielkomponenten für seine eigenen Zwecke zu manipulieren. |
Sehr hoch |
MITRE
Techniken
| id |
beschreibung |
| T1040 |
Netzwerk-Sniffing |
| T1134 |
Zugangstoken-Manipulation |
| T1185 |
Browser-Session-Hijacking |
| T1505.003 |
Server-Software-Komponente:Web Shell |
| T1548 |
Mechanismus zur Kontrolle des Missbrauchs von Erhöhungen |
| T1550.001 |
Alternatives Authentifizierungsmaterial verwenden: Application Access Token |
| T1557 |
Der Gegner in der Mitte |
| T1563 |
Session Hijacking für Remote-Dienste |
| © 2022 The MITRE Corporation. Dieses Werk wird mit Genehmigung von The MITRE Corporation vervielfältigt und verbreitet. |
Abhilfemaßnahmen
| id |
beschreibung |
| T1040 |
Stellen Sie in Cloud-Umgebungen sicher, dass Benutzer keine Berechtigungen zum Erstellen oder Ändern von Verkehrsspiegeln erhalten, wenn dies nicht ausdrücklich erforderlich ist. |
| T1134 |
Ein Angreifer muss bereits über Administratorrechte auf dem lokalen System verfügen, um diese Technik in vollem Umfang nutzen zu können; stellen Sie sicher, dass Sie Benutzer und Konten auf die geringsten erforderlichen Rechte beschränken. |
| T1185 |
Schließen Sie alle Browser-Sitzungen regelmäßig und wenn sie nicht mehr benötigt werden. |
| T1505.003 |
Setzen Sie das Prinzip der geringsten Rechte durch, indem Sie die Rechte der Benutzerkonten einschränken, damit nur autorisierte Konten das Webverzeichnis ändern können. |
| T1548 |
Obwohl es Techniken zur Umgehung der Benutzerkontensteuerung gibt, ist es immer noch ratsam, die höchste Durchsetzungsstufe für die Benutzerkontensteuerung zu verwenden, wenn dies möglich ist, und die Umgehungsmöglichkeiten, die mit Techniken wie DLL Search Order Hijacking bestehen, zu verringern. |
| T1550.001 |
Aktualisieren Sie die Unternehmensrichtlinien, um einzuschränken, welche Arten von Anwendungen von Drittanbietern zu Online-Diensten oder Tools hinzugefügt werden dürfen, die mit den Informationen, Konten oder dem Netzwerk des Unternehmens verknüpft sind (z. B. Google, Microsoft, Dropbox, Basecamp, GitHub). Geben Sie jedoch keine allgemeinen Richtlinien vor, sondern legen Sie eine Liste der zugelassenen Anwendungen fest und verweigern Sie alle anderen, die nicht auf der Liste stehen. Administratoren können die Zustimmung der Endbenutzer auch über Verwaltungsportale wie das Azure-Portal blockieren, indem sie die Benutzer daran hindern, Anwendungen von Drittanbietern über OAuth zu autorisieren und eine administrative Zustimmung zu erzwingen. |
| T1557 |
Bringen Sie den Benutzern bei, bei Zertifikatsfehlern misstrauisch zu sein. Angreifer können ihre eigenen Zertifikate verwenden, um den HTTPS-Verkehr abzufangen. Zertifikatsfehler können auftreten, wenn das Zertifikat der Anwendung nicht mit dem vom Host erwarteten übereinstimmt. |
| T1563 |
Schränken Sie die Rechte von Remote-Benutzern ein, wenn ein Remote-Zugriff erforderlich ist. |
| © 2022 The MITRE Corporation. Dieses Werk wird mit Genehmigung von The MITRE Corporation vervielfältigt und verbreitet. |
Sherlock® flash
Machen Sie mit wenigen Klicks ein Foto von Ihrem Computernetzwerk !
Mit der Sherlock® flash Audit-Lösung können Sie ein Audit durchführen, um die Sicherheit Ihres Computerbestands zu erhöhen. Scannen Sie Ihre physischen und virtuellen Geräte auf Schwachstellen. Planung von Patches nach Priorität und verfügbarer Zeit. Detaillierte und intuitive Berichte.
Entdecke dieses Angebot
