CVE-2004-0063
CVSS7.5
发布时间 :2004-02-17 00:00:00
修订时间 :2016-10-17 22:40:25
NMCO    

[原文]The SPP_VerifyPVV function in nCipher payShield SPP library 1.3.12, 1.5.18 and 1.6.18 returns a Status_OK value even if the HSM returns a different status code, which could cause applications to make incorrect security-critical decisions, e.g. by accepting an invalid PIN number.


[CNNVD]nCipher payShield SPP库错误请求验证漏洞(CNNVD-200402-054)

        
        PayShield HSM是nCipher开发的用于信用卡付费机制专用安全交易加速器。
        PayShield SPP库存在漏洞,允许使用此库实现的应用程序验证有害的请求。
        当一命令通过SPP库发送,库会查询它的HSMs以确保他们能应答和正确工作。当这个检查触发及成功,对起始命令的应答会一直是Status_OK,而不去理会HSM返回的状态代码。
        虽然错误消息会打印在payShield日志中,但这个错误却没有和调用的函数进行交流。
        此问题只存在于主机端库和主机端应用程序中。已经存在的payShield安装和密钥不会被破坏,还可以用于新的软件中。这个漏洞并且不泄露任何关于数据和密钥的信息,只导致错误的验证。
        如果命令被处理,模块查询被触发时以往返回非0状态代码,这个状态可能会丢失。
        如一个非法PIN验证尝试从HSM返回Status_VerifyFailed,但是库调用SPP_VerifyPVV()会返回Status_OK,而使PIN看起来是合法的。如果攻击者能对payShield应用程序进行唯一访问,可使用非法请求进行欺骗然后最终获得'OK'应答。
        

- CVSS (基础分值)

CVSS分值: 7.5 [严重(HIGH)]
机密性影响: [--]
完整性影响: [--]
可用性影响: [--]
攻击复杂度: [--]
攻击向量: [--]
身份认证: [--]

- CPE (受影响的平台与产品)

cpe:/a:ncipher:payshield_spp_library:1.6.18
cpe:/a:ncipher:payshield_spp_library:1.5.18
cpe:/a:ncipher:payshield_spp_library:1.3.12

- OVAL (用于检测的技术细节)

未找到相关OVAL定义

- 官方数据库链接

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2004-0063
(官方数据源) MITRE
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2004-0063
(官方数据源) NVD
http://www.cnnvd.org.cn/vulnerability/show/cv_cnnvdid/CNNVD-200402-054
(官方数据源) CNNVD

- 其它链接及资源

http://marc.info/?l=bugtraq&m=107411819503569&w=2
(UNKNOWN)  BUGTRAQ  20040114 nCipher Advisory #8: payShield library may verify bad requests
http://www.ncipher.com/support/advisories/advisory8_payshield.html
(VENDOR_ADVISORY)  CONFIRM  http://www.ncipher.com/support/advisories/advisory8_payshield.html
http://www.securityfocus.com/bid/9422
(UNKNOWN)  BID  9422
http://xforce.iss.net/xforce/xfdb/14832
(UNKNOWN)  XF  payshield-incorrect-request-verification(14832)

- 漏洞信息

nCipher payShield SPP库错误请求验证漏洞
高危 其他
2004-02-17 00:00:00 2005-05-13 00:00:00
远程※本地  
        
        PayShield HSM是nCipher开发的用于信用卡付费机制专用安全交易加速器。
        PayShield SPP库存在漏洞,允许使用此库实现的应用程序验证有害的请求。
        当一命令通过SPP库发送,库会查询它的HSMs以确保他们能应答和正确工作。当这个检查触发及成功,对起始命令的应答会一直是Status_OK,而不去理会HSM返回的状态代码。
        虽然错误消息会打印在payShield日志中,但这个错误却没有和调用的函数进行交流。
        此问题只存在于主机端库和主机端应用程序中。已经存在的payShield安装和密钥不会被破坏,还可以用于新的软件中。这个漏洞并且不泄露任何关于数据和密钥的信息,只导致错误的验证。
        如果命令被处理,模块查询被触发时以往返回非0状态代码,这个状态可能会丢失。
        如一个非法PIN验证尝试从HSM返回Status_VerifyFailed,但是库调用SPP_VerifyPVV()会返回Status_OK,而使PIN看起来是合法的。如果攻击者能对payShield应用程序进行唯一访问,可使用非法请求进行欺骗然后最终获得'OK'应答。
        

- 公告与补丁

        厂商补丁:
        nCipher
        -------
        建议用户使用新的库重新连接应用软件,可以联系供应商获得相关信息:
        
        http://www.ncipher.com/

- 漏洞信息

3537
nCipher payShield SPP Library Bad Request Verification
Remote / Network Access Race Condition
Loss of Integrity
Exploit Public

- 漏洞描述

payShield's SPP library contains a flaw that may allow a remote attacker to get approval for an invalid PIN. The issue is due to the SPP library returning a Status_OK response regardless of what the original status code was. If an attacker has sole access to the payShield application, they could flood it with invalid requests and eventually get an "OK" response.

- 时间线

2003-12-12 Unknow
Unknow Unknow

- 解决方案

Upgrade to version 1.6.19 or higher, as it has been reported to fix this vulnerability. An upgrade is required as there are no known workarounds.

- 相关参考

- 漏洞作者

Unknown or Incomplete
 

 

关于SCAP中文社区

SCAP中文社区是国内第一个以SCAP为主题的中文开放社区。了解更多信息,请查阅[关于本站]

版权声明

CVE/CWE/OVAL均为MITRE公司的注册商标,它们的官方数据源均保存在MITRE公司的相关网站