Divulgación de CVE: [CVE-2024-44346]

Fecha: [13-09-2024]

Resumen

Se identificó una vulnerabilidad en Tosibox tbsetup.exe versión 4.0.0.0, que podría permitir una escalada de privilegios local. A este problema se le ha asignado el identificador [CVE-2024-44346]. El proveedor ha publicado un aviso con más detalles y pasos de remediación.

Productos afectados

• Proveedor: Tosibox
• Producto: tbsetup.exe
• Versión: 4.0.0.0

Descripción de la vulnerabilidad

Tosibox fue informado sobre el problema en el software Tosibox Key que podría permitir la ejecución de código arbitrario al ejecutar el instalador de Tosibox Key (tbsetup.exe). Un intento exitoso requeriría que el usuario local hubiera descargado o colocado de otra manera una aplicación binaria maliciosa en el mismo directorio que el binario del instalador y luego ejecutar el instalador.

Impacto

Si tiene éxito, el código del atacante se ejecutaría con los privilegios elevados de la aplicación.

Aviso del proveedor

El proveedor, Tosibox, ha publicado un aviso sobre esta vulnerabilidad. Puede ver el aviso en el siguiente enlace:

• https://tosibox.service-now.com/customer_portal?id=kb_article_view&sys_kb_id=569a9b4a3318de108efa2c023d5c7bc5

Remedición

Se recomienda encarecidamente a los usuarios de los productos afectados que tomen las siguientes medidas:

1. Actualizar a la versión corregida según lo indicado en el aviso del proveedor: La nueva versión (4.0.1) de Tosibox Key para Windows.

Créditos

Esta vulnerabilidad fue descubierta por Shaurya y Sahil Shah, y agradecemos al proveedor, Tosibox, por su cooperación en la publicación de un parche.

Cronología

• Fecha de descubrimiento: [5 August 2024]
• Notificación al proveedor: [27 Aug 2024]
• Reconocimiento del proveedor: [13 Aug 2023]
• Lanzamiento del parche: [27 Aug 2024]
• Divulgación pública: [13 Sept 2024]

Referencias

• Enlace a la entrada CVE
• Enlace al aviso del proveedor

Contacto

Si tiene alguna pregunta o necesita más información, no dude en contactarnos en [[email protected]].