PT-2020-14117 · Asus · Asus Screenpad2 Upgrade Tool+2

Publicado 2020-07-20 · Atualizado 2020-07-29 · CVE-2020-15009

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

ASUS ScreenPad2 Upgrade Tool, versão 1.0.3

Descrição

A vulnerabilidade permite a execução de código não assinado sem restrições adicionais quando um usuário instala um aplicativo em um caminho específico com um nome de arquivo determinado, afetando potencialmente PCs ASUS com ScreenPad 1.0, como os modelos UX450FDX, UX550GDX e UX550GEX.

Recomendações

Para a versão 1.0.3, considere restringir o acesso aos executáveis AsusScreenXpertServicec.exe e ScreenXpertUpgradeServiceManager.exe até que uma correção esteja disponível. Evite colocar aplicativos no caminho específico com o nome de arquivo específico que poderia levar à execução de código não assinado.

Correção

Untrusted Search Path

Enumeração de Fraquezas

CWE-426

Identificadores relacionados

CVE-2020-15009

Produtos afetados

Asus Screenpad2 Upgrade Tool

Asusscreenxpertservicec.Exe

Screenxpertupgradeservicemanager.Exe

Referências · 5

• https://osv.dev/vulnerability/CVE-2020-15009 · Aviso do Fabricante
• https://drive.google.com/file/d/1ClzHH5Jw3PgZw74RvKrEP8xU0TUc5Ta0/view?usp=sharing · Nota
• https://asus.com/Static_WebPage/ASUS-Product-Security-Advisory · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-15009 · Nota de Segurança
• https://asus.com/support/FAQ/1043674 · Aviso do Fabricante