CVE-2015-3449
WysokieStreszczenie
Klient Windows w SAP Afaria 7.0.6398.0 stosuje słabe uprawnienia (wszyscy: odczyt i wszyscy: zapis) dla folderu instalacyjnego, co pozwala lokalnym użytkownikom na uzyskanie uprawnień poprzez złośliwy plik XeService.exe.
Ocena ryzyka
Słabe uprawnienia mogą prowadzić do eskalacji uprawnień przez lokalnych użytkowników, co stwarza ryzyko wprowadzenia złośliwego oprogramowania do systemu.
Rekomendacja
Zaleca się zmianę uprawnień folderu instalacyjnego, aby ograniczyć dostęp tylko do zaufanych użytkowników.
Inne podatności w SAP Afaria 7.0.6398.0
Zobacz wszystkie- CVE-2015-4161Wysokie
SAP Afaria nieprawidłowo ogranicza dostęp do nieokreślonej funkcjonalności, co pozwala zdalnym atakującym na uzyskanie poufnych informacji, zdobycie uprawnień lub wywołanie innych nieokreślonych skutków.
- CVE-2015-2816Wysokie
XcListener w SAP Afaria 7.0.6001.5 nie ogranicza prawidłowo dostępu, co pozwala zdalnym atakującym na wywołanie nieokreślonego wpływu poprzez spreparowane żądanie.
- CVE-2015-8753Krytyczne
SAP Afaria w wersji 7.0.6001.5 umożliwia zdalnym atakującym ominięcie kontroli autoryzacji oraz zdalne wyczyszczenie lub zablokowanie urządzeń mobilnych za pomocą spreparowanego żądania, co jest związane z 'niebezpiecznym podpisem'.
Oryginalny opis (angielski, źródło NVD)
The Windows client in SAP Afaria 7.0.6398.0 uses weak permissions (Everyone: read and Everyone: write) for the install folder, which allows local users to gain privileges via a Trojan horse XeService.exe file.