Apache Wicket 1.4.20/1.5.7 Ajax Link Handler Cross Site Scripting

VulDB: Apache Wicket 1.4.20/1.5.7 Ajax Link Handler Cross Site Scripting

Allgemein

Apache

scipID: 6123
Betroffen: Apache Wicket 1.4.20/1.5.7
Veröffentlicht: 06.09.2012 (Thomas Heigl)
Risiko: problematisch
Eintrag: 90.3% komplett
Erstellt: 10.09.2012

Beschreibung

Es wurde eine problematische Schwachstelle in Apache Wicket 1.4.20/1.5.7 gefunden. Davon betroffen ist eine unbekannte Funktion der Komponente Ajax Link Handler. Durch das Manipulieren mit der Eingabe %00 kann eine Cross Site Scripting-Schwachstelle ausgenutzt werden. Die Auswirkungen sind bekannt für Vertraulichkeit, Integrität und Verfügbarkeit.

Die Schwachstelle wurde am 06.09.2012 durch Thomas Heigl als Apache Wicket XSS vulnerability in Form eines Advisorys (Website) publiziert. Das Advisory kann von wicket.apache.org heruntergeladen werden. Die Herausgabe passierte in Zusammenarbeit mit Apache. Die Identifikation der Schwachstelle wird seit dem 14.06.2012 mit CVE-2012-3373 vorgenommen. Die Ausnutzbarkeit gilt als leicht. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Es sind technische Details sowie ein privater Exploit zur Schwachstelle bekannt.

Ein Aktualisieren auf die Version 1.4.21, 1.5.8 oder 6.0.0 vermag dieses Problem zu lösen. Eine neue Version kann von wicket.apache.org bezogen werden. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Apache hat demnach sofort reagiert. Mitunter wird der Fehler auch in den Datenbanken von OSVDB (85249) und Secunia (SA50555) dokumentiert.