Раскрытие CVE: [CVE-2024-44346]

Дата: [13-09-2024]

Краткое описание

В программе Tosibox tbsetup.exe версии 4.0.0.0 была выявлена уязвимость, которая может привести к локальному повышению привилегий. Этой проблеме присвоен идентификатор [CVE-2024-44346]. Разработчик выпустил уведомление с дополнительными сведениями и шагами по устранению.

Затронутые продукты

• Разработчик: Tosibox
• Продукт: tbsetup.exe
• Версия: 4.0.0.0

Описание уязвимости

Компания Tosibox была проинформирована о проблеме в программном обеспечении Tosibox Key, которая потенциально может позволить выполнение произвольного кода при запуске установщика Tosibox Key (tbsetup.exe). Для успешной эксплуатации требуется, чтобы локальный пользователь загрузил или иным образом разместил вредоносное бинарное приложение в той же директории, что и установщик, и затем запустил установщик.

Влияние

В случае успеха код злоумышленника будет выполнен с повышенными привилегиями приложения.

Уведомление разработчика

Разработчик, Tosibox, выпустил уведомление об этой уязвимости. Вы можете ознакомиться с уведомлением по следующей ссылке:

• https://tosibox.service-now.com/customer_portal?id=kb_article_view&sys_kb_id=569a9b4a3318de108efa2c023d5c7bc5

Устранение

Настоятельно рекомендуется пользователям затронутых продуктов предпринять следующие действия:

1. Обновить до исправленной версии, указанной в уведомлении разработчика: Новая версия (4.0.1) Tosibox Key для Windows.

Благодарность

Эта уязвимость была обнаружена Shaurya и Sahil Shah, и мы благодарим разработчика, Tosibox, за сотрудничество при выпуске исправления.

Хронология

• Дата обнаружения: [5 августа 2024]
• Уведомление разработчика: [27 августа 2024]
• Подтверждение разработчиком: [13 августа 2023]
• Выпуск исправления: [27 августа 2024]
• Публичное раскрытие: [13 сентября 2024]

Ссылки

• Ссылка на запись CVE
• Ссылка на уведомление разработчика

Контакты

Если у вас есть вопросы или вам нужна дополнительная информация, обращайтесь по адресу [[email protected]].