Cross-site request forgery (CSRF) vulnerability in Zenoss Core through 5 Beta 3 allows remote attackers to hijack the authentication of arbi

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• zenoss zenoss core2.4.0
• zenoss zenoss core2.4.5
• zenoss zenoss core2.5.0
• zenoss zenoss core2.5.1
• zenoss zenoss core2.5.2
• zenoss zenoss core3.0.0
• zenoss zenoss core3.0.1
• zenoss zenoss core3.0.2
• zenoss zenoss core3.0.3
• zenoss zenoss core3.1.0
• zenoss zenoss core3.2.0
• zenoss zenoss core3.2.1
• zenoss zenoss core4.2.0
• zenoss zenoss core4.2.3
• zenoss zenoss core4.2.4
• zenoss zenoss core4.2.5
• zenoss zenoss core5.0.0

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2014-6261Zenoss Core through 5 Beta 3 does not properly implement the Check For Updates feature, which allows remote attackers to execute arbitrary c
  43В плане
• CVE-2014-6262Multiple format string vulnerabilities in the python module in RRDtool, as used in Zenoss Core before 4.2.5 and other products, allow remote
  32Наблюдать
• CVE-2014-9249The default configuration of Zenoss Core before 5 allows remote attackers to read or modify database information by connecting to unspecifie
  30Наблюдать
• CVE-2014-6256Zenoss Core through 5 Beta 3 allows remote attackers to bypass intended access restrictions and place files in a directory with public (1) r
  30Наблюдать
• CVE-2014-9386Zenoss Core before 4.2.5 SP161 sets an infinite lifetime for the session ID cookie, which makes it easier for remote attackers to hijack ses
  28Наблюдать
• CVE-2014-6260Zenoss Core through 5 Beta 3 does not require a password for modifying the pager command string, which allows remote attackers to execute ar
  28Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Запросы, изменяющие состояние, опираются на сессионный cookie, который браузер отправляет автоматически; то, что запрос пришёл со страницы самого пользователя, не проверяется.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1app.use(session({ cookie: { httpOnly: true } }));2app.post("/account/address", updateAddress);

1app.use(session({ cookie: { httpOnly: true, sameSite: "lax" } }));2app.post("/account/address", csrfProtection, updateAddress);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.