PT-2022-10379 · Parallels · Parallels Desktop

Say2 · Publicado 2022-02-18 · Atualizado 2022-07-22 · CVE-2021-34986

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Parallels Desktop versão 16.5.0

Descrição

Esta vulnerabilidade permite que invasores locais obtenham privilégios elevados nas instalações afetadas. Para explorar essa vulnerabilidade, o invasor deve primeiro obter a capacidade de executar código com privilégios reduzidos no sistema alvo. A falha específica existe no serviço Parallels. Ao criar um link simbólico, um invasor pode abusar do serviço para executar um arquivo. Um invasor pode aproveitar essa vulnerabilidade para escalar privilégios e executar código arbitrário no contexto do root.

Recomendações

Para o Parallels Desktop versão 16.5.0, no momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Correção

Time Of Check To Time Of Use

Enumeração de Fraquezas

CWE-367

Identificadores relacionados

CVE-2021-34986

ZDI-22-385

Produtos afetados

Parallels Desktop

Referências · 8

• https://kb.parallels.com/en/125013 · Aviso do Fabricante
• https://t.me/cvenotify/33205 · Publicação no Telegram
• https://t.me/cvenotify/33608 · Publicação no Telegram
• https://zerodayinitiative.com/advisories/ZDI-22-385 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2021-34986 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-34986 · Aviso do Fabricante
• https://t.me/cibsecurity/46366 · Publicação no Telegram
• https://t.me/cvenotify/33176 · Publicação no Telegram