製品・ソフトウェアに関する情報
Vulnerability Search
Java 用 OWASP ESAPI の対称暗号化の実装における暗号保護メカニズムを回避される脆弱性
Title Java 用 OWASP ESAPI の対称暗号化の実装における暗号保護メカニズムを回避される脆弱性
Summary

Java 用 OWASP Enterprise Security API (ESAPI) の対称暗号化の実装の Authenticated Encryption 機能は、シリアライズされた暗号文を伴った改ざんを適切に阻止しないため、暗号保護メカニズムを回避される脆弱性が存在します。 本脆弱性は、CVE-2013-5679 とは異なる脆弱性です。

Possible impacts 第三者により、非デフォルト設定の暗号モードへの攻撃を介して、暗号保護メカニズムを回避される可能性があります。
Solution

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
Publication Date Sept. 2, 2013, midnight
Registration Date Oct. 1, 2013, 4:21 p.m.
Last Update Oct. 1, 2013, 4:21 p.m.
CVSS2.0 : 注意
Score 3.3
Vector AV:L/AC:M/Au:N/C:P/I:P/A:N
Affected System
OWASP
OWASP Enterprise Security API 2.1.1 未満の 2.x
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
No Changed Details Date of change
0 [2013年10月01日]
  掲載		 Feb. 17, 2018, 10:37 a.m.
NVD Vulnerability Information
CVE-2013-5960
Summary

The authenticated-encryption feature in the symmetric-encryption implementation in the OWASP Enterprise Security API (ESAPI) for Java 2.x before 2.1.0.1 does not properly resist tampering with serialized ciphertext, which makes it easier for remote attackers to bypass intended cryptographic protection mechanisms via an attack against the intended cipher mode in a non-default configuration, a different vulnerability than CVE-2013-5679.

Publication Date Oct. 1, 2013, 2:09 a.m.
Registration Date Jan. 26, 2021, 3:46 p.m.
Last Update Nov. 21, 2024, 10:58 a.m.
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:owasp:enterprise_security_api:*:*:*:*:*:*:*:* 2.0 2.1.0.1
Related information, measures and tools
Common Vulnerabilities List