PT-2021-19307 · Parallels · Parallels Desktop

Reno Robert · Publicado 2021-04-21 · Atualizado 2021-05-05 · CVE-2021-31427

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.3

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:L

Nome do software vulnerável e versões afetadas

Parallels Desktop versão 15.1.5-47309

Descrição

Esta vulnerabilidade permite que invasores locais divulguem informações confidenciais nas instalações afetadas. Para explorar essa vulnerabilidade, o invasor deve primeiro obter a capacidade de executar código com privilégios reduzidos no sistema convidado alvo. A falha específica existe no componente Open Tools Gate, resultante da falta de bloqueio adequado ao realizar operações em um objeto. Um invasor pode aproveitar isso em conjunto com outras vulnerabilidades para escalar privilégios e executar código arbitrário no contexto do hipervisor.

Recomendações

Para o Parallels Desktop versão 15.1.5-47309, considere desativar o componente Open Tools Gate como uma solução temporária até que uma correção esteja disponível. Restrinja o acesso ao componente para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Correção

Time Of Check To Time Of Use

Improper Locking

Enumeração de Fraquezas

CWE-367

CWE-667

Identificadores relacionados

CVE-2021-31427

ZDI-21-435

Produtos afetados

Parallels Desktop

Referências · 6

• https://osv.dev/vulnerability/CVE-2021-31427 · Aviso do Fabricante
• https://kb.parallels.com/en/125013 · Aviso do Fabricante
• https://t.me/cvenotify/13937 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-31427 · Nota de Segurança
• https://t.me/cybersecuritytechnologies/3247 · Publicação no Telegram
• https://zerodayinitiative.com/advisories/ZDI-21-435 · Nota de Segurança