PT-2022-22427 · Parallels · Parallels Access Agent
Xavier Danest
·
Publicado
2022-07-01
·
Atualizado
2022-07-27
·
CVE-2022-34900
CVSS v3.1
7.8
Alta
| Vetor | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Parallels Access Agent versão 6.5.3 (39313)
Descrição
Esta vulnerabilidade permite que invasores locais elevem privilégios nas instalações afetadas. Para explorar essa vulnerabilidade, o invasor deve primeiro obter a capacidade de executar código com privilégios baixos no sistema alvo. A falha específica está no serviço Dispatcher, que carrega um arquivo de configuração do OpenSSL a partir de um local não seguro. Um invasor pode aproveitar essa vulnerabilidade para elevar privilégios e executar código arbitrário no contexto do SYSTEM.
Recomendações
Para o Parallels Access Agent versão 6.5.3 (39313), considere desativar o serviço Dispatcher como uma solução temporária até que um patch esteja disponível. Restrinja o acesso ao local não seguro onde o arquivo de configuração do OpenSSL é carregado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Correção
Uncontrolled Search Path Element
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Parallels Access Agent