HPE Storage Seite 5

In der Kommandozeilen-Schnittstelle von AOS-CX besteht eine authentifizierte Command-Injection-Schwachstelle. Eine erfolgreiche Ausnutzung erlaubt die Ausführung beliebiger Befehle auf dem zugrunde liegenden Betriebssystem als privilegierter Benutzer und damit die vollständige Kompromittierung des betroffenen Switches. CVSS-Basiswert: 8.8 (Hoch).

In IBM Storage Scale Container Native Storage Access in den Versionen 5.1.2.1 bis 5.1.6.1 kann ein lokaler Benutzer aufgrund fehlender Security-Context-Einstellungen erweiterte Rechte auf dem Host erlangen. CVSS-Basiswert: 7.4 (Hoch).

Certifi ist eine kuratierte Sammlung von Root-Zertifikaten zur Prüfung der Vertrauenswürdigkeit von SSL-Zertifikaten bei der Verifizierung von TLS-Hosts. Laut NVD erkannte Certifi vor Version 2023.07.22 die Root-Zertifikate von e-Tugra an, deren Zertifikate infolge gemeldeter Sicherheitsprobleme in den Systemen des Ausstellers untersucht wurden. Mit Certifi 2023.07.22 wurden die e-Tugra-Root-Zertifikate aus dem Zertifikatsspeicher entfernt. CVSS-Basiswert: 7.5 (Hoch). Eine EPSS-Angabe liegt in den Quelldaten nicht vor.

Im ksmbd des Linux-Kernels, einem leistungsstarken In-Kernel-SMB-Server, besteht laut NVD eine Schwachstelle bei der Verarbeitung der Befehle SMB2_SESSION_SETUP und SMB2_LOGOFF. Ursache ist eine fehlende ordnungsgemässe Sperrung beim Zugriff auf ein Objekt. Ein Angreifer kann dies ausnutzen, um Code im Kontext des Kernels auszuführen. CVSS-Basiswert: 8.1 (Hoch).

Laut Quelldaten kann die Schwachstelle lokal ausgenutzt werden, um Rechte auf dem System zu erweitern (Privilege Escalation). Weitere technische Details zur konkreten Komponente liegen in den Quelldaten nicht vor. CVSS-Basiswert: 7.5 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Für OpenSSH und zahlreiche darauf aufbauende Produkte wurde eine Sicherheitslücke (CVE-2018-15473) gemeldet; als Beleg dient unter anderem der Changelog der Securepoint UTM. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 98.6 %.

Für Axis-Produkte wurde eine Sicherheitslücke (CVE-2021-44790) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 96.8 %.

Für Apache Log4j wurde eine Sicherheitslücke (CVE-2017-5645) gemeldet, die von der Apache Software Foundation in ihren Sicherheitshinweisen geführt wird. Laut Quellenlage sind neben Apache Log4j auch Produkte zahlreicher weiterer Hersteller betroffen, darunter NetApp, Rockwell Automation, Oracle und Microsoft. Ausnutzungswahrscheinlichkeit (EPSS): 89.8 %.

Für mehrere überwachte Produkte wurde eine Sicherheitslücke (CVE-2020-9490) gemeldet; laut den Quellen ist unter anderem Axis betroffen, daneben zahlreiche Linux-Distributionen und Storage-Anbieter. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 88.8 %.

Für Synology-Produkte wurde eine Sicherheitslücke (CVE-2014-0221) gemeldet, die in mehreren DSM-Versionen adressiert wurde (DSM 4.0-2264, DSM 4.2-3250, DSM 4.3-3827 Update 4, DSM 5.0-4493 Update 1). Die zugrunde liegende OpenSSL-Schwachstelle betrifft laut Quellenlage auch Produkte weiterer Hersteller. Ausnutzungswahrscheinlichkeit (EPSS): 87.9 %.

In SICK Package Analytics wurden im Zusammenhang mit CVE-2021-3711 Sicherheitslücken gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 87.8 %. 1 Produkt(e) betroffen, 0 mit Fix.

Für Produkte von Asustor, Axis, Siemens, OpenSSL und weiteren Herstellern wurde eine Sicherheitslücke (CVE-2022-1292) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 82.6 %.

Für Git wurde eine Sicherheitslücke (CVE-2020-27955) gemeldet; Atlassian führt die betroffene Komponente in seinem Security-Advisory. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 82.3 %.

Für Produkte von Asustor und Veritas wurde eine Sicherheitslücke (CVE-2021-44142) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 73.4 %.

Für Produkte von Asustor und Axis wurde eine Sicherheitslücke behoben; betroffen sind zudem mehrere weitere Hersteller und Distributionen. Ausnutzungswahrscheinlichkeit (EPSS): 69.1 %.

Für Axis-Produkte wurde eine Sicherheitslücke behoben; betroffen sind zudem mehrere weitere Hersteller und Distributionen. Ausnutzungswahrscheinlichkeit (EPSS): 68.3 %.

Für Produkte von Axis Communications wurde eine Sicherheitslücke behoben; betroffen sind zudem mehrere weitere Hersteller und Distributionen. Ausnutzungswahrscheinlichkeit (EPSS): 65.3 %.

Für Axis-Produkte wurde eine Sicherheitslücke behoben, die auf einer Schwachstelle in OpenSSL beruht; betroffen ist eine grosse Zahl weiterer Hersteller und Distributionen. Ausnutzungswahrscheinlichkeit (EPSS): 63.5 %.

Für Synacor / Zimbra-Produkte wurde eine Sicherheitslücke (CVE-2022-21449) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 60.3 %.

Für Axis-Produkte wurde eine Sicherheitslücke (CVE-2019-17567) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 60.3 %.

Für curl wurde eine Sicherheitslücke (CVE-2021-22901) gemeldet; das curl-Projekt sowie weitere Hersteller führen entsprechende Sicherheitshinweise. Ausnutzungswahrscheinlichkeit (EPSS): 60.1 %.

Für Axis-Produkte wurde eine Sicherheitslücke (CVE-2020-1927) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 56.7 %.

Für Produkte von Axis wurde eine Sicherheitslücke (CVE-2020-11993) gemeldet. Weitere Hersteller und Distributionen (u. a. Debian, Ubuntu, SUSE/openSUSE, Fedora, NetApp sowie HPE-, IBM- und Pure-Storage) führen die Lücke ebenfalls in ihren Sicherheitshinweisen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 56.4 %.

Für Eclipse Jetty wurde eine Sicherheitslücke (CVE-2021-28165) gemeldet; zahlreiche Hersteller (u. a. Zimbra, Jenkins und NetApp) führen entsprechende Sicherheitshinweise. Ausnutzungswahrscheinlichkeit (EPSS): 53.9 %.

Für Synology- und Axis-Produkte wurde eine Sicherheitslücke in OpenSSL gemeldet (Synology-SA-20:05). Ausnutzungswahrscheinlichkeit (EPSS): 53.3 %.

Für Synacor / Zimbra-Produkte wurde eine Sicherheitslücke (CVE-2021-30641) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 52.6 %.

Für mehrere Produkte (u. a. von Axis, Debian, Fedora und SUSE) wurde eine Sicherheitslücke (CVE-2020-1934) gemeldet; die Hersteller führen sie in ihren Sicherheitshinweisen. Ausnutzungswahrscheinlichkeit (EPSS): 52.0 %.

Für Produkte von Axis wurde eine Sicherheitslücke (CVE-2021-31618) gemeldet. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 51.5 %.

Für Produkte von Axis Communications wurde eine Sicherheitslücke (CVE-2021-23840) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 50.7 %.

Für OpenSSL wurde eine Sicherheitslücke (CVE-2021-3712) gemeldet; zahlreiche Hersteller (u. a. Zimbra, Axis und NetApp) führen entsprechende Sicherheitshinweise. Ausnutzungswahrscheinlichkeit (EPSS): 50.4 %.

Für curl wurde eine Sicherheitslücke (CVE-2019-5436) gemeldet, die zahlreiche überwachte Produkte betrifft; das curl-Projekt (Daniel Stenberg) führt die betroffene Komponente in seinem Security-Advisory. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 49.7 %.

Für Axis-Produkte wurde eine Sicherheitslücke (CVE-2020-13950) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 49.4 %.

Für Asustor- und Axis-Produkte wurde eine Sicherheitslücke (CVE-2022-22721) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 41.7 %.

Für Synacor / Zimbra- und Axis-Produkte wurde eine Sicherheitslücke (CVE-2021-39275) gemeldet. Weitere Hersteller und Distributionen (u. a. Debian, Fedora, NetApp, NAKIVO, HPE-, IBM- und Pure-Storage sowie Siemens) führen die Lücke ebenfalls in ihren Sicherheitshinweisen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 39.4 %.

Für mehrere überwachte Produkte wurde eine Sicherheitslücke (CVE-2022-22720) gemeldet; laut den Quellen sind unter anderem Asustor und Axis betroffen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 28.2 %.

Für Produkte von Axis wurde eine Sicherheitslücke (CVE-2002-20001) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 24.6 %.

Für Axis-Produkte wurde eine Sicherheitslücke (CVE-2021-3450) gemeldet, die die OpenSSL-Bibliothek betrifft und per Advisory adressiert wurde; mehrere Hersteller sind betroffen. Eine nähere technische Beschreibung liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 18.3 %.

Für curl wurde eine Sicherheitslücke (CVE-2019-5482) gemeldet und im Sicherheitsadvisory des curl-Projekts dokumentiert. Ausnutzungswahrscheinlichkeit (EPSS): 17.9 %.

Für Produkte von Axis Communications liegt ein Sicherheitshinweis des Herstellers vor. Zur genauen Schwachstelle enthalten die Quelldaten keine belastbare technische Beschreibung, weshalb Angriffsweg und Auswirkung hier nicht näher ausgeführt werden. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 17.1 %. Empfohlene Massnahme: den referenzierten Sicherheitshinweis des Herstellers beachten und verfügbare Aktualisierungen einspielen.

Für LibreOffice wurde eine Sicherheitslücke (CVE-2012-0037) gemeldet und in den Sicherheitsadvisories der The Document Foundation dokumentiert. Ausnutzungswahrscheinlichkeit (EPSS): 13.7 %.

Für Synology-Produkte und weitere Hersteller wurde eine Sicherheitslücke im Samba-Dienst gemeldet (CVE-2017-12150). Ausnutzungswahrscheinlichkeit (EPSS): 13.2 %.

Für CVE-2020-8285 liegt ein Sicherheitshinweis von curl / Daniel Stenberg vor. Laut Zuordnung sind unter anderem curl, Debian, Fedora, NetApp, HPE Storage, IBM Storage, Pure Storage, Apple (macOS/iOS), Axis, Oracle (CPU/EBS/PeopleSoft/WebLogic), Siemens Healthineers, Siemens ProductCERT und Splunk (Cisco) betroffen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 9.8 %.

Diese OpenSSL-Schwachstelle ist laut dem Axis-Security-Advisory-Portal in Axis-Produkten dokumentiert und wird zusätzlich von zahlreichen weiteren Herstellern geführt, darunter Debian (DSA), Qualys/Rapid7/Tenable, Paessler AG, Apple (macOS/iOS), NetApp, Rockwell Automation, HPE Storage, IBM Storage, Pure Storage, MySQL/MariaDB, Oracle (CPU/EBS/PeopleSoft/WebLogic), Siemens Healthineers und Siemens ProductCERT. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, daher wird die Schwere als Mittel eingestuft. Ausnutzungswahrscheinlichkeit (EPSS): 7.4 %. Details zu betroffenen Versionen und Massnahmen sind den jeweiligen Hersteller-Advisories zu entnehmen.

Für curl sowie die nachgelagerten Produkte von Axis, Fedora, NetApp, HPE Storage, IBM Storage, Pure Storage, Debian (DSA), Siemens Healthineers, Siemens ProductCERT und Splunk (Cisco) wurde eine Schwachstelle gemeldet, dokumentiert in den curl-Sicherheitshinweisen sowie bei Axis Communications. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, daher wird die Schwere als Mittel eingestuft. Ausnutzungswahrscheinlichkeit (EPSS): 5.3 %.

Die Schwachstelle ist der curl-Bibliothek zugeordnet; laut den Quelldaten liegt keine detaillierte technische Beschreibung vor. Betroffen sind laut Zuordnung zahlreiche nachgelagerte Distributionen und Produkte, die curl integrieren. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 4.6 %.

Für CVE-2020-8284 liegt laut curl-Sicherheitsadvisory (Daniel Stenberg) ein Eintrag zu curl vor; eine detaillierte Beschreibung der Schwachstelle ist in den übergebenen Quelldaten nicht enthalten. Als betroffen zugeordnet sind laut Quellenlage unter anderem Fedora, Debian, NetApp, HPE Storage, IBM Storage, Pure Storage, Apple (macOS/iOS), Axis, Oracle, Siemens Healthineers, Siemens ProductCERT und Splunk (Cisco), die curl als Bestandteil einsetzen. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 3.9 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für curl sowie die nachgelagerten Produkte von Axis, Fedora, Debian (DSA), NetApp, HPE Storage, IBM Storage, Pure Storage und Splunk (Cisco) wurde eine Sicherheitslücke (CVE-2022-27776) gemeldet, dokumentiert in den curl-Sicherheitshinweisen sowie bei Axis Communications. Ausnutzungswahrscheinlichkeit (EPSS): 3.8 %.

curl (Daniel Stenberg) führt CVE-2021-22890 in den Sicherheitsmeldungen auf; betroffen sind laut Datenlage zudem Storage-Produkte von NetApp, HPE Storage, IBM Storage und Pure Storage sowie weitere Produkte von Axis, Fedora, Debian und Siemens, die die Bibliothek einsetzen. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 3.1 %.

Für Produkte von Axis wird in der Sicherheitsübersicht des Herstellers ein Eintrag zu dieser CVE-ID geführt. Weitere Hersteller (u. a. OpenSSL, HPE Storage, IBM Storage, Pure Storage sowie Siemens Healthineers/ProductCERT) referenzieren die Lücke ebenfalls in ihren Sicherheitshinweisen. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 3.0 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für curl und weitere betroffene Produkte (Axis, NetApp, HPE Storage, IBM Storage, Pure Storage, Splunk (Cisco)) wurde eine Sicherheitslücke (CVE-2022-27779) gemeldet. Nähere technische Details liegen in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 2.7 %.