PT-2022-6512 · Parallels · Parallels Desktop
Alexandre Adamski
·
Publicado
2022-12-13
·
Atualizado
2025-08-06
·
CVE-2023-27326
CVSS v3.1
8.2
Alta
| Vetor | AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do Parallels Desktop anteriores à 18.1.1
Descrição
Esta vulnerabilidade permite que invasores locais obtenham privilégios elevados em instalações afetadas do Parallels Desktop. Para explorar essa vulnerabilidade, o invasor deve primeiro obter a capacidade de executar código com privilégios elevados no sistema convidado alvo. A falha específica existe no componente Toolgate, resultante da falta de validação adequada de um caminho fornecido pelo usuário antes de usá-lo em operações de arquivo. Um invasor pode aproveitar essa vulnerabilidade para escalar privilégios e executar código arbitrário no contexto do usuário atual no sistema host. A vulnerabilidade decorre de um traversal de diretório e do uso incorreto de strings do Qt, resultando em comportamento inesperado.
Recomendações
Para versões do Parallels Desktop anteriores à 18.1.1, atualize para a versão 18.1.1 ou posterior para resolver a vulnerabilidade. Como solução temporária, considere restringir o acesso ao componente Toolgate até que um patch esteja disponível. Evite usar o componente vulnerável nas versões afetadas do Parallels Desktop até que a vulnerabilidade seja resolvida.
Exploit
Correção
LPE
Path traversal
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Parallels Desktop