A Disclosure of Sensitive Information vulnerability in HPE SiteScope version v11.2x, v11.3x was found.

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• hp sitescope11.20
• hp sitescope11.21
• hp sitescope11.22
• hp sitescope11.23
• hp sitescope11.24
• hp sitescope11.24.391
• hp sitescope11.30
• hp sitescope11.30.521
• hp sitescope11.31
• hp sitescope11.32
• hp sitescope11.33

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (hpe). Не зависят от анализа CPE в NVD и обычно опережают его.

• Hewlett Packard Enterprise SiteScope

  • v11.2x, v11.3xзатронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2013-2367Multiple unspecified vulnerabilities in HP SiteScope 11.20 and 11.21, when SOAP is used, allow remote attackers to execute arbitrary code vi
  61На этой неделе
• CVE-2012-3259Unspecified vulnerability in a SOAP feature in HP SiteScope 11.10 through 11.12 allows remote attackers to execute arbitrary code via unknow
  58В плане
• CVE-2012-3261Unspecified vulnerability in a SOAP feature in HP SiteScope 11.10 through 11.12 allows remote attackers to execute arbitrary code via unknow
  52В плане
• CVE-2012-3260Unspecified vulnerability in a SOAP feature in HP SiteScope 11.10 through 11.12 allows remote attackers to execute arbitrary code via unknow
  52В плане
• CVE-2013-4835The APISiteScopeImpl SOAP service in HP SiteScope 10.1x and 11.x before 11.22 allows remote attackers to bypass authentication and execute a
  51В плане
• CVE-2012-3263Unspecified vulnerability in a SOAP feature in HP SiteScope 11.10 through 11.12 allows remote attackers to execute arbitrary code via unknow
  43В плане

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.