PT-2022-22978 · Xhyve · Xhyve

Alisa Esage · Publicado 2022-07-06 · Atualizado 2022-08-09 · CVE-2022-35867

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

xhyve (versões afetadas não especificadas)

Descrição

Esta vulnerabilidade permite que invasores locais obtenham privilégios elevados nas instalações afetadas. Para explorar essa vulnerabilidade, o invasor deve primeiro obter a capacidade de executar código com privilégios elevados no sistema convidado alvo. A falha específica existe no dispositivo virtual e1000. A vulnerabilidade resulta da falta de validação adequada do comprimento dos dados fornecidos pelo usuário antes de copiá-los para um buffer baseado em pilha. Um invasor pode aproveitar essa vulnerabilidade para escalar privilégios e executar código arbitrário no contexto do hipervisor.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Correção

Stack Overflow

Enumeração de Fraquezas

CWE-121

Identificadores relacionados

CVE-2022-35867

ZDI-22-949

Produtos afetados

Xhyve

Referências · 5

• https://osv.dev/vulnerability/CVE-2022-35867 · Aviso do Fabricante
• https://zerodayinitiative.com/advisories/ZDI-22-949 · Nota de Segurança
• https://t.me/cvenotify/34456 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-35867 · Nota de Segurança
• https://t.me/cibsecurity/47506 · Publicação no Telegram