PT-2022-7157 · Parallels · Parallels Desktop

Kn32 · Publicado 2022-11-01 · Atualizado 2025-08-06 · CVE-2023-27324

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Parallels Desktop (versões afetadas não especificadas)

Descrição

O problema está relacionado à inicialização incorreta de variáveis de ambiente no serviço Updater do Parallels Desktop, permitindo que invasores locais elevem privilégios e executem código arbitrário no contexto do root. Para explorar essa vulnerabilidade, o invasor deve primeiro obter a capacidade de executar código com privilégios reduzidos no sistema host alvo.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

LPE

Improper Initialization

Enumeração de Fraquezas

CWE-665

Identificadores relacionados

BDU:2023-08421

CVE-2023-27324

ZDI-23-218

Produtos afetados

Parallels Desktop

Referências · 11

• https://zerodayinitiative.com/advisories/ZDI-23-218 · Nota de Segurança
• https://t.me/cvenotify/78937 · Publicação no Telegram
• https://t.me/cybersecuritytechnologies/8220 · Publicação no Telegram
• https://vuldb.com/?id.224595 · Nota
• https://t.me/cveNotify/131161 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2023-27324 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1733124318517706930 · Publicação no Twitter
• https://kb.parallels.com/125013 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2023-08421 · Nota de Segurança
• https://t.me/pentestingnews/35590 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2023-27324 · Aviso do Fabricante