PT-2022-17250 · Unknown · Pritunl Client

David Yesland · Publicado 2022-02-20 · Atualizado 2022-04-27 · CVE-2022-25372

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Pritunl Client versões 1.2.3019.52 e anteriores

Descrição

A vulnerabilidade permite a escalada de privilégios locais, relacionada a uma entrada de ACL para CREATOR OWNER no arquivo platform windows.go. Isso afeta o Pritunl Client no Windows.

Recomendações

Para o Pritunl Client versão 1.2.3019.52 e anteriores, considere atualizar para uma versão que corrija o problema de escalonamento de privilégios locais, embora a versão corrigida específica não esteja disponível nos dados fornecidos. Como solução temporária, considere restringir o acesso à entrada de ACL vulnerável para CREATOR OWNER em platform windows.go até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Improper Privilege Management

Enumeração de Fraquezas

CWE-269

Identificadores relacionados

CVE-2022-25372

Produtos afetados

Pritunl Client

Referências · 10

• 🔥 https://rhinosecuritylabs.com/penetration-testing/cve-2022-25372-local-privilege-escalation-in-pritunl-vpn-client · Exploit
• https://github.com/pritunl/pritunl-client-electron/blob/caa78d626198b6961f3f39eca2acd39064c2df96/CHANGES#L6 · Nota
• https://github.com/pritunl/pritunl-client-electron/commit/e16d47437f8ef62546aa00edb0d64be2a7d2205b · Correção
• https://t.me/cvenotify/28820 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-25372 · Aviso do Fabricante
• https://t.me/rnetsec/16684 · Publicação no Telegram
• https://t.me/cvenotify/27106 · Publicação no Telegram
• https://t.me/cvenotify/27506 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-25372 · Nota de Segurança
• https://t.me/cibsecurity/37850 · Publicação no Telegram