CVE-Offenlegung: [CVE-2024-44346]

Datum: [13-09-2024]

Zusammenfassung

Eine Schwachstelle wurde in Tosibox tbsetup.exe Version 4.0.0.0 identifiziert, die eine lokale Privilegienausweitung ermöglichen könnte. Dieser Problem wurde die Kennung [CVE-2024-44346] zugewiesen. Der Anbieter hat ein Advisory mit weiteren Details und Abhilfemaßnahmen veröffentlicht.

Betroffene Produkte

• Hersteller: Tosibox
• Produkt: tbsetup.exe
• Version: 4.0.0.0

Beschreibung der Schwachstelle

Tosibox wurde über das Problem in der Tosibox Key Software informiert, das potenziell die Ausführung von beliebigem Code beim Ausführen des Tosibox Key Installers (tbsetup.exe) ermöglichen könnte. Ein erfolgreicher Versuch würde erfordern, dass der lokale Benutzer eine schädliche Binäranwendung heruntergeladen oder anderweitig im selben Verzeichnis wie das Installationsprogramm platziert hat und dann das Installationsprogramm ausführt.

Auswirkungen

Bei Erfolg würde der Code des Angreifers mit den erhöhten Berechtigungen der Anwendung ausgeführt.

Advisory des Anbieters

Der Anbieter Tosibox hat ein Advisory zu dieser Schwachstelle veröffentlicht. Sie können das Advisory unter dem folgenden Link einsehen:

• https://tosibox.service-now.com/customer_portal?id=kb_article_view&sys_kb_id=569a9b4a3318de108efa2c023d5c7bc5

Abhilfe

Es wird dringend empfohlen, dass Benutzer der betroffenen Produkte die folgenden Maßnahmen ergreifen:

1. Aktualisieren Sie auf die behobene Version, wie im Advisory des Anbieters erwähnt: Die neue Version (4.0.1) von Tosibox Key für Windows.

Danksagung

Diese Schwachstelle wurde von Shaurya & Sahil Shah entdeckt, und wir danken dem Anbieter Tosibox für die Zusammenarbeit bei der Veröffentlichung eines Patches.

Zeitplan

• Datum der Entdeckung: [5. August 2024]
• Benachrichtigung des Anbieters: [27. Aug. 2024]
• Bestätigung durch den Anbieter: [13. Aug. 2023]
• Patch-Veröffentlichung: [27. Aug. 2024]
• Öffentliche Offenlegung: [13. Sept. 2024]

Referenzen

• Link zum CVE-Eintrag
• Link zum Advisory des Anbieters

Kontakt

Wenn Sie Fragen haben oder weitere Informationen benötigen, wenden Sie sich bitte an [[email protected]].