PT-2020-14953 · Parallels · Parallels Desktop

Singi@Theori · Publicado 2020-08-18 · Atualizado 2020-10-09 · CVE-2020-17402

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.1

Alta

Vetor base

AV:N/AC:M/Au:N/C:N/I:N/A:C

Nome do software vulnerável e versões afetadas

Parallels Desktop versão 15.1.4

Descrição

Esta vulnerabilidade permite que invasores locais divulguem informações confidenciais em instalações afetadas. Para explorar essa vulnerabilidade, o invasor deve primeiro obter a capacidade de executar código com privilégios reduzidos no sistema alvo. A falha específica existe no kext prl hypervisor. Ao examinar um arquivo de log, um invasor pode revelar um endereço de memória. Isso pode ser aproveitado em conjunto com outras vulnerabilidades para escalar privilégios e executar código no contexto do kernel.

Recomendações

Para o Parallels Desktop versão 15.1.4, no momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Correção

Incorrect Permission

Buffer Overflow

Enumeração de Fraquezas

CWE-732

CWE-120

Identificadores relacionados

BDU:2020-05759

CVE-2020-17402

ZDI-20-1020

Produtos afetados

Parallels Desktop

Referências · 14

• https://github.com/Exiv2/exiv2/issues/1019 · Nota
• https://kb.parallels.com/en/125013 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2019-17402 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-17402 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2020-05759 · Nota de Segurança
• https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0316SE47MD · Aviso do Fabricante
• https://access.redhat.com/security/cve/cve-2020-17402 · Nota
• https://zerodayinitiative.com/advisories/ZDI-20-1020 · Nota de Segurança
• https://suse.com/security/cve/CVE-2019-17402 · Nota
• https://xn--80ahaefyxhn.xn--j1afgaq.xn--p1ai/bin/view/%D0%9E%D0%A1%D0%BD%D0%BE%D0%B2%D0%B0/%D0%9E%D0%B1%D0%BD%D0%BE%D0%B2%D0%BB%D0%B5%D0%BD%D0%B8%D1%8F/2.3 · Nota
• https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-17402 · Nota de Segurança
• https://security-tracker.debian.org/tracker/CVE-2019-17402 · Aviso do Fabricante
• https://wiki.astralinux.ru/astra-linux-se16-bulletin-20251225SE16 · Aviso do Fabricante