Divulgación de CVE: [CVE-2024-10930]

Divulgación pública de CVE-2024-10930

Fecha: [12-02-2025]

Resumen

Se identificó una vulnerabilidad en el producto Carrier E20-BLK416X.EXE versión 4.16, que podría permitir la escalada local de privilegios. A este problema se le ha asignado el identificador [CVE-2024-10930] .El proveedor publicará un aviso con más detalles y pasos de corrección.

Productos afectados

• Proveedor: Carrier
• Producto: E20-BLK416X.EXE
• Versión: 4.16
• Versión actualizada: 4.2

Descripción de la vulnerabilidad

Se informó a Carrier sobre el problema en el software Block Load que podría permitir la ejecución de código arbitrario al ejecutar el instalador de Block Load (E20-BLK416X.EXE). Un intento exitoso requeriría que el usuario local haya descargado o colocado de otro modo una aplicación binaria maliciosa en el mismo directorio que el binario del instalador y luego ejecutarlo.

Impacto

Si tiene éxito, el código del atacante se ejecutaría con los privilegios elevados de la aplicación.

Corrección

Se recomienda encarecidamente que los usuarios de los productos afectados tomen las siguientes acciones:

1. Actualizar a la versión corregida según lo indicado en el aviso del proveedor: La nueva versión (4.2) de Block Load para Windows.

Créditos

Esta vulnerabilidad fue descubierta por Sahil Shah, Shaurya y Shuvro, y agradecemos al proveedor, Carrier, por su cooperación en la publicación de un parche.

Cronograma

• Fecha de descubrimiento: [19 de septiembre de 2024]
• Notificación al proveedor: [11 de noviembre de 2024]
• Publicación del parche: [22 de noviembre de 2024]
• Reconocimiento del proveedor: [En proceso]
• Divulgación pública: [En progreso]

Referencias

• Enlace a la entrada CVE
• Enlace al aviso del proveedor: Publicado próximamente

Contacto

Si tiene alguna pregunta o necesita más información, no dude en contactarnos en [[email protected]] y Linkedin