CVE-2020-1066
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 82 - wyżej niż 82% wszystkich znanych CVE
Streszczenie
Podatność podniesienia uprawnień w .NET Framework umożliwia atakującemu podniesienie poziomu uprawnień. Aby wykorzystać podatność, atakujący musi najpierw uzyskać dostęp do lokalnej maszyny, a następnie uruchomić złośliwy program. Aktualizacja naprawia problem, korygując sposób, w jaki .NET Framework aktywuje obiekty COM.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości przejęcia kontroli nad systemem przez nieautoryzowanego użytkownika, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się natychmiastowe zastosowanie aktualizacji zabezpieczeń dostarczonej przez producenta dla .NET Framework.
Inne podatności w .NET Framework
Zobacz wszystkie- CVE-2017-8585Wysokie
Microsoft .NET Framework w wersjach 4.6, 4.6.1, 4.6.2 oraz 4.7 umożliwia atakującemu wysyłanie specjalnie przygotowanych żądań do aplikacji webowej .NET, co prowadzi do odmowy usługi.
- CVE-2017-0160Wysokie
Microsoft .NET Framework w wersjach 2.0, 3.5, 4.5.2, 4.6, 4.6.1, 4.6.2 oraz 4.7 umożliwia atakującemu z dostępem do lokalnego systemu wykonanie złośliwego kodu, znanego jako 'Podatność na zdalne wykonanie kodu w .NET'.
- CVE-2016-7270Wysokie
Dostawca danych dla SQL Server w Microsoft .NET Framework 4.6.2 niewłaściwie obsługuje klucz dostarczony przez dewelopera, co pozwala zdalnym atakującym na ominięcie mechanizmu ochrony Always Encrypted i uzyskanie wrażliwych informacji w postaci niezaszyfrowanej.
- CVE-2016-0033Wysokie
Microsoft .NET Framework w wersjach 2.0 SP2, 3.5, 3.5.1, 4.5.2, 4.6 i 4.6.1 nie zapobiega rekurencyjnej kompilacji transformacji XSLT, co pozwala zdalnym atakującym na wywołanie odmowy usługi poprzez odpowiednio przygotowane dane XSLT.
- CVE-2014-4121Wysokie
Microsoft .NET Framework w wersjach 2.0 SP2, 3.5, 3.5.1, 4, 4.5, 4.5.1 i 4.5.2 nieprawidłowo przetwarza zidentyfikowane zasoby międzynarodowe, co pozwala zdalnym atakującym na wykonanie dowolnego kodu lub spowodowanie odmowy usługi (uszkodzenie pamięci) poprzez spreparowane żądanie do aplikacji webowej .NET.
- CVE-2014-4073Wysokie
Podatność w Microsoft .NET Framework umożliwia zdalnym atakującym uzyskanie uprawnień poprzez niezweryfikowane dane podczas interakcji z instalatorem ClickOnce. Dotyczy to wersji 2.0 SP2, 3.5, 3.5.1, 4, 4.5, 4.5.1 oraz 4.5.2.
- CVE-2014-1806Wysokie
Implementacja .NET Remoting w Microsoft .NET Framework 1.1 SP1, 2.0 SP2, 3.5, 3.5.1, 4, 4.5 i 4.5.1 nie ogranicza prawidłowo dostępu do pamięci, co pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez wykorzystanie źle sformułowanych obiektów.
- CVE-2016-0132Krytyczne
Microsoft .NET Framework w wersjach 2.0 SP2, 3.0 SP2, 3.5, 3.5.1, 4.5.2, 4.6 i 4.6.1 niewłaściwie obsługuje walidację podpisów dla nieokreślonych elementów dokumentów XML, co pozwala zdalnym atakującym na fałszowanie podpisów poprzez zmodyfikowany dokument.
- CVE-2026-65810Wysokie
Podatność typu 'relative path traversal' w .NET Framework umożliwia nieautoryzowanemu atakującemu lokalną eskalację uprawnień.
- CVE-2026-62897Wysokie
Przepełnienie liczby całkowitej lub zawinięcie w .NET Framework umożliwia nieautoryzowanemu atakującemu lokalne wykonanie kodu.
Oryginalny opis (angielski, źródło NVD)
An elevation of privilege vulnerability exists in .NET Framework which could allow an attacker to elevate their privilege level. To exploit the vulnerability, an attacker would first have to access the local machine, and then run a malicious program. The update addresses the vulnerability by correcting how .NET Framework activates COM objects.