CVE-2020-37234
ŚrednieCVSS 6.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Internet Download Manager 6.38.12 zawiera podatność na przepełnienie bufora w komponencie Scheduler, która umożliwia lokalnym atakującym doprowadzenie do awarii aplikacji poprzez dostarczenie zbyt dużych danych. Atakujący mogą wkleić złośliwe dane przekraczające 5000 bajtów w pole 'Open the following file when done', aby wywołać stan odmowy usługi.
Ocena ryzyka
Ryzyko obejmuje lokalną odmowę usługi, która może zakłócić działanie aplikacji i wpłynąć na produktywność użytkownika, ale nie prowadzi do zdalnego przejęcia.
Rekomendacja
Zaleca się aktualizację Internet Download Manager do najnowszej wersji, która naprawia tę podatność, oraz ograniczenie długości danych wejściowych w polach konfiguracyjnych.
Inne podatności w Internet Download Manager
Zobacz wszystkie- CVE-2025-56231Krytyczne
Tonec Internet Download Manager w wersji 6.42.41.1 i wcześniejszych nie weryfikuje poprawności certyfikatów SSL, co umożliwia atakującym ominięcie zabezpieczeń aktualizacji.
- CVE-2026-90493Wysokie
Wykryto podatność w Tonec Internet Download Manager do wersji 6.42 Build 63 na Windows. Sterownik jądra idmwfp.sys udostępnia interfejs urządzenia \\.\IDMWFP uwierzytelnionym użytkownikom lokalnym z uprawnieniami równoważnymi D:P(A;;GA;;;AU), a jego procedura obsługi IOCTL 0x12C028 nie weryfikuje uprawnień wywołującego ani nie ogranicza operacji do rejestru należącego do IDM. Umożliwia to niskouprzywilejowanemu użytkownikowi lokalnemu odczyt, tworzenie, modyfikację i usuwanie dowolnych wartości rejestru w HKLM i HKU.
Oryginalny opis (angielski, źródło NVD)
Internet Download Manager 6.38.12 contains a buffer overflow vulnerability in the Scheduler component that allows local attackers to crash the application by supplying oversized input. Attackers can paste malicious data exceeding 5000 bytes into the 'Open the following file when done' field to trigger a denial of service condition.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS