PT-2022-7156 · Parallels · Parallels Desktop

Kn32 · Publicado 2022-11-03 · Atualizado 2025-08-06 · CVE-2023-27325

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Parallels Desktop (versões afetadas não especificadas)

Descrição

Esta vulnerabilidade permite que invasores locais obtenham privilégios elevados em instalações afetadas do Parallels Desktop. Para explorar essa vulnerabilidade, o invasor deve primeiro obter a capacidade de executar código com privilégios reduzidos no sistema host de destino. A falha específica existe no serviço Updater e resulta da falta de inicialização adequada das variáveis de ambiente, permitindo que um invasor aproveite essa vulnerabilidade para escalar privilégios e executar código arbitrário no contexto do root.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Correção

LPE

Improper Initialization

Enumeração de Fraquezas

CWE-665

Identificadores relacionados

BDU:2023-08420

CVE-2023-27325

ZDI-23-219

Produtos afetados

Parallels Desktop

Referências · 12

• https://vuldb.com/?id.224594 · Nota
• https://twitter.com/VulmonFeeds/status/1786273725559497061 · Publicação no Twitter
• https://zerodayinitiative.com/advisories/ZDI-23-219 · Nota de Segurança
• https://t.me/cvenotify/78938 · Publicação no Telegram
• https://t.me/cybersecuritytechnologies/8220 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2023-27325 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2023-08420 · Nota de Segurança
• https://kb.parallels.com/125013 · Aviso do Fabricante
• https://zerodayinitiative.com/advisories/ZDI-23-221 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2023-27325 · Nota de Segurança
• https://t.me/pentestingnews/35590 · Publicação no Telegram
• https://t.me/cveNotify/131153 · Publicação no Telegram