製品・ソフトウェアに関する情報

JVN脆弱性詳細

Shell In A Box の HTTPS フォールバックの実装における DNS リバインディング攻撃を実行される脆弱性

タイトル	Shell In A Box の HTTPS フォールバックの実装における DNS リバインディング攻撃を実行される脆弱性
概要	Shell In A Box (別名 shellinabox) の HTTPS フォールバックの実装には、DNS リバインディング攻撃を実行される脆弱性が存在します。補足情報 : CWE による脆弱性タイプは、CWE-254: Security Features (セキュリティ機能) と識別されています。 http://cwe.mitre.org/data/definitions/254.html
想定される影響	第三者により、"/plain" URL を介して、DNS リバインディング攻撃を実行される可能性があります。
対策	ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
公表日	2015年12月6日0:00
登録日	2016年1月21日15:39
最終更新日	2016年1月21日15:39

影響を受けるシステム

Fedora Project

Fedora 22

Fedora 23

Fedora 22

Fedora 23

shellinabox project

shellinabox 2.19 未満

CVE (情報セキュリティ共通脆弱性識別子)

No	名前	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2015-8400	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-8400
2	CVE-2015-8400	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-8400
National Vulnerability Database (NVD)
3	CVE-2015-8400	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-8400
4	CVE-2015-8400	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-8400

CWE (共通脆弱性タイプ一覧)

No	名前	URL
JVNDB
1	CWE-Other	https://www.ipa.go.jp/security/vuln/CWE.html#CWEOther
2	CWE-Other	https://www.ipa.go.jp/security/vuln/CWE.html#CWEOther

ベンダー情報

No	名前	URL
Fedora Update Notification
1	FEDORA-2015-1c773e8702	http://lists.fedoraproject.org/pipermail/package-announce/2016-January/175117.html
2	FEDORA-2015-1c773e8702	http://lists.fedoraproject.org/pipermail/package-announce/2016-January/175117.html
3	FEDORA-2015-463143720f	http://lists.fedoraproject.org/pipermail/package-announce/2016-January/175224.html
4	FEDORA-2015-463143720f	http://lists.fedoraproject.org/pipermail/package-announce/2016-January/175224.html
GitHub
5	HTTP fallback via "/plain" allows opportunity for DNS rebinding attack #355	https://github.com/shellinabox/shellinabox/issues/355
6	HTTP fallback via "/plain" allows opportunity for DNS rebinding attack #355	https://github.com/shellinabox/shellinabox/issues/355
7	Release v2.19	https://github.com/shellinabox/shellinabox/releases/tag/v2.19
8	Release v2.19	https://github.com/shellinabox/shellinabox/releases/tag/v2.19

変更履歴

No	変更内容	変更日
0	[2016年01月21日] 掲載	2018年2月17日10:37
0	[2016年01月21日] 掲載	2018年2月17日10:37

NVD脆弱性情報

CVE-2015-8400

概要	The HTTPS fallback implementation in Shell In A Box (aka shellinabox) before 2.19 makes it easier for remote attackers to conduct DNS rebinding attacks via the "/plain" URL.
公表日	2016年1月13日4:59
登録日	2021年1月26日14:58
最終更新日	2024年11月21日11:38

影響を受けるソフトウェアの構成

構成2		以上	以下	より上	未満
cpe:2.3:a:shellinabox_project:shellinabox::::::::			2.18

関連情報、対策とツール

No	URL	タグ
1	http://lists.fedoraproject.org/pipermail/package-announce/2016-January/175117.html
2	http://lists.fedoraproject.org/pipermail/package-announce/2016-January/175117.html
3	http://lists.fedoraproject.org/pipermail/package-announce/2016-January/175224.html
4	http://lists.fedoraproject.org/pipermail/package-announce/2016-January/175224.html
5	http://www.openwall.com/lists/oss-security/2015/12/02/6
6	http://www.openwall.com/lists/oss-security/2015/12/02/6
7	http://www.openwall.com/lists/oss-security/2015/12/02/7
8	http://www.openwall.com/lists/oss-security/2015/12/02/7
9	https://github.com/shellinabox/shellinabox/issues/355	Vendor Advisory
10	https://github.com/shellinabox/shellinabox/issues/355	Vendor Advisory
11	https://github.com/shellinabox/shellinabox/releases/tag/v2.19	Patch
12	https://github.com/shellinabox/shellinabox/releases/tag/v2.19	Patch

共通脆弱性一覧

No	CWE	名前	URL
1	CWE-254	セキュリティ機能	https://cwe.mitre.org/data/definitions/254.html