Hashim Jawad

**Nome do software vulnerável e versões afetadas** SonicWall Connect Tunnel, versões 12.4.3.271 e anteriores do cliente Windows **Descrição** A vulnerabilidade permite que usuários com privilégios padrão excluam pastas e arquivos arbitrários, o que pode levar a um ataque de escalonamento de privilégios local. Isso se deve à resolução incorreta de links antes do acesso ao arquivo, também conhecida como “Link Following”. **Recomendações** Para o SonicWall Connect Tunnel versões 12.4.3.271 e anteriores do cliente Windows, atualize para uma versão posterior à 12.4.3.271 para resolver o problema. Como solução temporária, considere restringir o acesso a arquivos e pastas confidenciais para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** SonicWall Connect Tunnel versões 12.4.3.271 e anteriores **Descrição** A vulnerabilidade permite que usuários com privilégios padrão criem pastas e arquivos arbitrários, o que pode levar a um ataque de Negação de Serviço (DoS) local devido à resolução incorreta de links antes do acesso aos arquivos. **Recomendações** Para as versões 12.4.3.271 e anteriores do SonicWall Connect Tunnel, atualize para uma versão posterior à 12.4.3.271 para resolver o problema.

**Nome do software vulnerável e versões afetadas** Trend Micro VPN Proxy One Pro, versões 5.8.1012 e anteriores **Descrição** O problema está relacionado a um ataque de sobrescrita ou criação arbitrária de arquivos, o que pode levar a uma negação de serviço (DoS) local e, em condições específicas, à elevação de privilégios. Também está associado à possibilidade de exclusão de arquivos arbitrários no sistema, permitindo potencialmente que um invasor obtenha privilégios elevados. **Recomendações** Para as versões 5.8.1012 e anteriores, atualize para uma versão superior à 5.8.1012 para resolver o problema. No momento, não há informações sobre medidas de mitigação adicionais para esta vulnerabilidade específica.

Nome do software vulnerável e versões afetadas: Versões do Docker Desktop anteriores à 4.31.0 Descrição: O problema está relacionado a uma falha de configuração na opção de configuração `exec-path` do daemon do Docker, permitindo que um usuário do grupo `docker-users` provoque uma negação de serviço (DoS) no Windows no modo de contêineres do Windows. Isso se deve a um controle de acesso inadequado. O número estimado de dispositivos potencialmente afetados em todo o mundo não foi especificado. Não há informações sobre incidentes reais em que essa falha tenha sido explorada. A vulnerabilidade pode ser explorada por meio da opção de configuração `exec-path` do daemon do Docker, que faz parte da plataforma Docker Desktop para desenvolvimento e entrega de aplicativos em contêineres. Recomendações: Para versões do Docker Desktop anteriores à 4.31.0, atualize para a versão 4.31.0 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso à opção de configuração `exec-path` do daemon do Docker para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Trend Micro VPN versões 5.8.1012 e anteriores Trend Micro VPN Proxy One Pro (versões afetadas não especificadas) **Descrição** O problema está relacionado à resolução incorreta de links antes do acesso a um arquivo no componente DEP Manager do Trend Micro VPN Proxy One Pro para Windows. Isso pode permitir que um invasor eleve seus privilégios sob condições específicas. A vulnerabilidade pode levar à sobrescrita arbitrária de arquivos, resultando em escalonamento de privilégios. **Recomendações** Para as versões 5.8.1012 e anteriores do Trend Micro VPN, atualize para uma versão superior à 5.8.1012 para resolver o problema. Para o Trend Micro VPN Proxy One Pro, no momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade. Como solução alternativa temporária, considere restringir o acesso a arquivos e diretórios confidenciais para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Trend Micro VPN Proxy Pro versões 5.2.1026 e anteriores **Descrição** O problema envolve pastas com permissões excessivamente amplas em um diretório-chave, o que poderia permitir que um invasor local obtivesse escalonamento de privilégios em um sistema afetado. **Recomendações** Para as versões 5.2.1026 e anteriores, considere restringir o acesso ao diretório principal até que uma correção esteja disponível. Como solução temporária, revise e ajuste as permissões das pastas excessivamente permissivas para impedir a escalada de privilégios local. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do NVIDIA GeForce Experience anteriores à 3.20.5.70 **Descrição** O problema diz respeito a uma vulnerabilidade no componente ShadowPlay do NVIDIA GeForce Experience, que pode levar à escalada de privilégios locais, execução de código, negação de serviço ou divulgação de informações. **Recomendações** Para versões anteriores à 3.20.5.70, atualize para a versão 3.20.5.70 ou posterior para resolver o problema.

**Nome do software vulnerável e versões afetadas** Versões do Overwolf anteriores à 0.149.2.30 **Descrição** O problema está relacionado ao tratamento incorreto de links simbólicos durante as atualizações, o que pode causar elevação de privilégios. **Recomendações** Para versões anteriores à 0.149.2.30, atualize para a versão 0.149.2.30 ou posterior para resolver o problema.

**Nome do software vulnerável e versões afetadas** Versões do IDrive anteriores à 6.7.3.19 **Descrição** A vulnerabilidade permite que qualquer usuário padrão eleve privilégios para NT AUTHORITYSYSTEM ao substituir o binário IDriveService por um malicioso, devido a permissões de pasta fracas. O programa é instalado por padrão em %PROGRAMFILES(X86)%IDriveWindows com permissões que concedem a qualquer usuário permissão de modificação do diretório e de suas subpastas. O IDriveService é executado como LocalSystem, possibilitando a elevação de privilégios. **Recomendações** Para versões anteriores à 6.7.3.19, atualize para a versão 6.7.3.19 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao binário IDriveService para impedir a substituição por um malicioso. Além disso, revise e ajuste as permissões da pasta %PROGRAMFILES(X86)%IDriveWindows para impedir modificações não autorizadas.

**Nome do software vulnerável e versões afetadas** G.SKILL Trident Z Lighting Control, versões 1.00.08 e anteriores **Descrição** A vulnerabilidade permite que usuários locais sem privilégios acessem operações confidenciais, incluindo mapeamento e desmapeamento de memória física, leitura e gravação em registros MSR (Model Specific Register) e entrada e saída de portas de E/S. Essa exposição leva à escalada de privilégios para NT AUTHORITYSYSTEM. **Recomendações** Para as versões 1.00.08 e anteriores, considere desativar o driver ene.sys como uma solução temporária para minimizar o risco de exploração. Restrinja o acesso ao driver afetado para impedir que usuários locais sem privilégios escalam privilégios para NT AUTHORITYSYSTEM. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do Docker Desktop Enterprise anteriores à 2.1.0.9 Versões do Docker Desktop para Windows Stable anteriores à 2.2.0.4 Versões do Docker Desktop para Windows Edge anteriores à 2.2.2.0 Versões do LibreNMS anteriores à 1.48 **Descrição** A vulnerabilidade permite a escalada de privilégios locais e a gravação arbitrária de arquivos devido ao tratamento incorreto da coleta de diagnósticos com privilégios de administrador. Além disso, há um problema de validação ou codificação insuficiente das entradas fornecidas pelo usuário em scripts de gráficos, o que pode levar à injeção de sintaxe RRDtool e a vários ataques, incluindo a divulgação da estrutura de diretórios e nomes de arquivos, conteúdo de arquivos, negação de serviço ou gravação de arquivos arbitrários. O script `html/graph.php` e parâmetros como `html/includes/graphs/common.inc.php` e `html/includes/graphs/graphs.inc.php` são afetados. **Recomendações** Para versões do Docker Desktop Enterprise anteriores à 2.1.0.9, atualize para a versão 2.1.0.9 ou posterior. Para versões do Docker Desktop para Windows Stable anteriores à 2.2.0.4, atualize para a versão 2.2.0.4 ou posterior. Para versões do Docker Desktop para Windows Edge anteriores à 2.2.2.0, atualize para a versão 2.2.2.0 ou posterior. Para versões do LibreNMS anteriores à 1.48, atualize para a versão 1.48 ou posterior. Como solução alternativa temporária para o LibreNMS, considere restringir o acesso ao script `html/graph.php` e validar as entradas do usuário para os scripts `html/includes/graphs/common.inc.php` e `html/includes/graphs/graphs.inc.php` para evitar o RRDtool sy

**Nome do software vulnerável e versões afetadas** Versões do CORSAIR iCUE anteriores à 3.25.60 **Descrição** A vulnerabilidade permite que usuários locais sem privilégios leiam e gravem em locais arbitrários da memória física e, consequentemente, obtenham privilégios NT AUTHORITYSYSTEM, por meio de uma chamada de função como MmMapIoSpace. Isso se deve a uma falha nos drivers CorsairLLAccess64.sys e CorsairLLAccess32.sys. Pesquisadores da Activecyber identificaram essa vulnerabilidade, que pode levar à escalada de privilégios. **Recomendações** Para versões anteriores à 3.25.60, atualize para a versão 3.25.60 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso aos drivers CorsairLLAccess64.sys e CorsairLLAccess32.sys até que um patch seja aplicado.

**Name of the Vulnerable Software and Affected Versions** Patriot Viper RGB versions prior to 1.1 **Description** The issue allows local users, including those with low integrity processes, to read and write to arbitrary memory locations. This can lead to the gain of NT AUTHORITYSYSTEM privileges by mapping DevicePhysicalMemory into the calling process via `ZwOpenSection` and `ZwMapViewOfSection` functions. **Recommendations** For Patriot Viper RGB versions prior to 1.1, update to version 1.1 or later to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** Netwrix Auditor versions prior to 9.8 **Description** The issue is related to insecure permissions on certain directories and sub-folders, specifically `%PROGRAMDATA%Netwrix AuditorLogsActiveDirectory`. The `Netwrix.ADA.StorageAuditService` service, which writes to this directory, does not properly impersonate, resulting in the target file having the same permissions as the invoking process. This allows low-privileged users to perform DLL Hijacking/Binary Planting attacks, potentially executing code as `NT AUTHORITYSYSTEM` with the help of Symbolic Links. **Recommendations** For versions prior to 9.8, update to version 9.8 or later to resolve the issue. As a temporary workaround, consider restricting access to the `%PROGRAMDATA%Netwrix AuditorLogsActiveDirectory` directory and its sub-folders to prevent low-privileged users from exploiting the vulnerability. Additionally, restrict the use of the `Netwrix.ADA.StorageAuditService` service until the update is applied.

**Name of the Vulnerable Software and Affected Versions** Artica Pandora FMS versions 7.0 NG before 735 **Description** The issue is related to improper permissions on the C:PandoraFMS directory and its sub-folders, allowing standard users to create new files. When the Apache service httpd.exe receives web requests to the portal, it attempts to execute cmd.exe from the C:PandoraFMS directory as NT AUTHORITYSYSTEM. This allows non-privileged users to escalate privileges to NT AUTHORITYSYSTEM. **Recommendations** For Artica Pandora FMS version 7.0 NG before 735, update to version 735 or later to resolve the issue. As a temporary workaround, consider restricting write access to the C:PandoraFMS directory and its sub-folders to prevent standard users from creating new files. Additionally, restrict the execution of cmd.exe by the Apache service httpd.exe to minimize the risk of privilege escalation.

**Name of the Vulnerable Software and Affected Versions** Zoho ManageEngine Desktop Central versions 10.0.380 Zoho ManageEngine EventLog Analyzer versions 12.0.2 Zoho ManageEngine ServiceDesk Plus versions 10.0.0 Zoho ManageEngine SupportCenter Plus versions 8.1 Zoho ManageEngine O365 Manager Plus versions 4.0 Zoho ManageEngine Mobile Device Manager Plus versions 9.0.0 Zoho ManageEngine Patch Connect Plus versions 9.0.0 Zoho ManageEngine Vulnerability Manager Plus versions 9.0.0 Zoho ManageEngine Patch Manager Plus versions 9.0.0 Zoho ManageEngine OpManager versions 12.3 Zoho ManageEngine NetFlow Analyzer versions 11.0 Zoho ManageEngine OpUtils versions 11.0 Zoho ManageEngine Network Configuration Manager versions 11.0 Zoho ManageEngine FireWall versions 12.0 Zoho ManageEngine Key Manager Plus versions 5.6 Zoho ManageEngine Password Manager Pro versions 9.9 Zoho ManageEngine Analytics Plus versions 1.0 Zoho ManageEngine Browser Security Plus (affected versions not specified) **Description** The issue is related to local privilege escalation due to improper permissions for the %SYSTEMDRIVE%ManageEngine directory and its sub-folders. Services associated with the affected products try to execute binaries such as `sc.exe` from the current directory upon system start, allowing non-privileged users to escalate privileges to NT AUTHORITYSYSTEM. **Recommendations** For Desktop Central 10.0.380, update the permissions for the %SYSTEMDRIVE%ManageEngine directory and its sub-folders to prevent non-privileged users from escalating privileges. For EventLog Analyzer 12.0.2, restrict the execution of binaries such as `sc.exe` from the current directory upon system start. For ServiceDesk Plus 10.0.0, ensure proper permissions are set for the %SYSTEMDRIVE%ManageEngine directory and its sub-folders. For SupportCenter Plus 8.1, consider disabling the execution of binaries from the current directory until a patch is available. For O365 Manager Plus 4.0, Mobile Device Manager Plus 9.0.0, Patch Connect Plus 9.0.0, Vulnerability Manager Plus 9.0.0, Patch Manager Plus 9.0.0, OpManager 12.3, NetFlow Analyzer 11.0, OpUtils 11.0, Network Configuration Manager 11.0, FireWall 12.0, Key Manager Plus 5.6, Password Manager Pro 9.9, Analytics Plus 1.0, and Browser Security Plus, at the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Viber versions prior to 10.7.0 for Desktop (Windows) **Description** A vulnerability exists due to unsafe search paths used by the application URI, allowing an attacker to execute arbitrary commands on a targeted system. An attacker could exploit this by convincing a targeted user to follow a malicious link, causing the application to load libraries from the directory targeted by the URI link. This could allow the attacker to execute arbitrary commands on the system with the privileges of the targeted user, if the attacker can place a crafted library in a directory that is accessible to the vulnerable system. **Recommendations** For Viber versions prior to 10.7.0 for Desktop (Windows), update to version 10.7.0 or later to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** TeamSpeak 3 Client versions prior to 3.2.5 **Description** The issue allows remote code execution in the Qt framework. **Recommendations** For versions prior to 3.2.5, update to version 3.2.5 or later to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** KioWare Server versions 4.9.6 and older **Description** The issue concerns weak folder permissions in the default installation directory, granting any user full access to the directory and its sub-folders. Additionally, a service called KWSService runs as Localsystem, allowing any user to potentially escalate privileges to NT AUTHORITYSYSTEM by substituting the service's binary with a malicious one. **Recommendations** For KioWare Server versions 4.9.6 and older, consider restricting access to the installation directory and its sub-folders to prevent unauthorized modifications. As a temporary workaround, monitor the KWSService for any suspicious activity and consider disabling it until a patch is available. Restrict access to the service's binary to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** Seqrite End Point Security version 7.4 **Description** The issue allows local users to gain privileges by replacing an executable file with a Trojan horse, due to the "Everyone: (F)" permission for %PROGRAMFILES%SeqriteSeqrite. **Recommendations** For Seqrite End Point Security version 7.4, consider restricting access to the %PROGRAMFILES%SeqriteSeqrite directory to prevent local users from replacing executable files. As a temporary workaround, monitor the directory for any unauthorized changes to executable files until a patch is available.