CVE-2019-25747
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Network Inventory Advisor 5.0.26.0 instaluje usługę niaservice z niecytowaną ścieżką binarną, co pozwala lokalnym atakującym na eskalację uprawnień poprzez umieszczanie złośliwych plików wykonywalnych w pośrednich katalogach. Atakujący mogą wykorzystać tę niecytowaną ścieżkę w konfiguracji usługi do wykonania dowolnego kodu z uprawnieniami LocalSystem podczas uruchamiania lub ponownego uruchamiania usługi.
Ocena ryzyka
Organizacja jest narażona na ryzyko eskalacji uprawnień przez lokalnych atakujących, co może prowadzić do nieautoryzowanego dostępu do systemu i danych. Wykorzystanie tej podatności może skutkować poważnymi konsekwencjami dla bezpieczeństwa i integralności systemu.
Rekomendacja
Zaleca się aktualizację Network Inventory Advisor do najnowszej wersji, która naprawia tę podatność. Dodatkowo, należy zweryfikować konfigurację usług, aby unikać niecytowanych ścieżek w ustawieniach.
Oryginalny opis (angielski, źródło NVD)
Network Inventory Advisor 5.0.26.0 installs the niaservice service with an unquoted binary path that allows local attackers to escalate privileges by placing malicious executables in intermediate directories. Attackers can exploit the unquoted path in the service configuration to execute arbitrary code with LocalSystem privileges when the service starts or restarts.