Plateforme
aspnet
Composant
asp-net-jvideo-kit
Corrigé dans
1.0.1
La vulnérabilité CVE-2018-25205 est une faille d'injection SQL affectant ASP.NET jVideo Kit version 1.0. Elle permet à des attaquants non authentifiés d'injecter du code SQL via le paramètre 'query' dans la fonctionnalité de recherche. L'exploitation de cette vulnérabilité peut mener à l'extraction d'informations sensibles. Les versions 1.0 à 1.0 sont concernées. Aucun correctif officiel n'est disponible.
La vulnérabilité CVE-2018-25205 dans jVideo Kit 1.0 pour ASP.NET représente un risque important en raison d'une injection SQL présente dans la fonctionnalité de recherche. Un attaquant non authentifié peut exploiter cette faille en envoyant des commandes SQL malveillantes via le paramètre 'query' dans le chemin '/search', par le biais de requêtes GET ou POST. Cela permet d'extraire des informations sensibles de la base de données, en utilisant des techniques d'injection SQL aveugle basées sur des booléens ou des erreurs. L'impact potentiel comprend la divulgation de données confidentielles, la modification de la base de données et même le compromis du serveur, en fonction des permissions du compte de base de données utilisé par l'application. L'absence d'un correctif officiel (fix) aggrave la situation, nécessitant des mesures de mitigation urgentes.
La vulnérabilité est exploitée via le chemin '/search' dans l'application jVideo Kit. Les attaquants peuvent manipuler le paramètre 'query' pour injecter du code SQL malveillant. L'absence d'authentification signifie que tout utilisateur, même un utilisateur non enregistré, peut tenter d'exploiter la vulnérabilité. L'exploitation peut être plus complexe si la base de données ne renvoie pas d'erreurs explicites, ce qui nécessite l'utilisation de techniques d'injection SQL aveugle. Des outils tels que SQLMap peuvent automatiser le processus d'exploitation. La simplicité de la vulnérabilité et l'absence de correctif en font une cible attrayante pour les attaquants.
Organizations utilizing ASP.NET jVideo Kit version 1.0, particularly those hosting the application on shared hosting environments or without robust input validation practices, are at significant risk. Systems with weak database security configurations or those lacking intrusion detection systems are also more vulnerable.
• aspnet / web:
curl -s -X GET 'http://<target>/search?query='; SELECT+sleep(5);-- -n• generic web:
curl -s -X GET 'http://<target>/search?query='; SELECT+sleep(5);-- -n | grep 'sleep(5)'• generic web:
grep -i 'sql injection' /var/log/apache2/access.logdisclosure
Statut de l'Exploit
EPSS
0.09% (percentile 25%)
CISA SSVC
Vecteur CVSS
Étant donné qu'aucun correctif officiel n'est fourni par le développeur de jVideo Kit, l'atténuation de CVE-2018-25205 nécessite une approche proactive. Il est fortement recommandé de supprimer ou de désactiver la fonctionnalité de recherche jusqu'à ce qu'une solution sécurisée puisse être mise en œuvre. Si la fonctionnalité est essentielle, des mesures de sécurité telles que la validation et le nettoyage rigoureux de toutes les entrées utilisateur, l'utilisation de requêtes paramétrées (prepared statements) pour éviter l'injection SQL et l'application du principe du moindre privilège au compte de base de données utilisé par l'application doivent être mises en œuvre. Surveiller l'application à la recherche d'activités suspectes est crucial. Envisager une mise à niveau vers une version plus sécurisée d'ASP.NET, si possible, pourrait fournir une couche de protection supplémentaire.
Mettre à jour vers une version corrigée ou mettre en œuvre des mesures de sécurité pour éviter l'injection SQL (SQL Injection). Valider et filtrer les entrées du paramètre 'query' avant de les utiliser dans des requêtes SQL. Envisager d'utiliser des requêtes paramétrées ou un ORM pour prévenir l'injection SQL (SQL Injection).
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
Il est possible que jVideo Kit ne soit plus largement utilisé, mais s'il est trouvé sur des systèmes hérités, il pose un risque.
L'injection SQL est une technique d'attaque qui permet aux attaquants de manipuler des requêtes SQL pour accéder ou modifier des données dans une base de données.
Effectuez des tests d'intrusion ou utilisez des outils de numérisation des vulnérabilités pour identifier si le chemin '/search' est susceptible d'être affecté par une injection SQL.
Cela signifie que le développeur n'a pas publié de mise à jour pour corriger la vulnérabilité, ce qui nécessite des mesures d'atténuation manuelles.
C'est une technique utilisée lorsque la base de données ne renvoie pas d'erreurs explicites, et que l'attaquant doit déduire les informations à partir de réponses booléennes ou de temps.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.