CVE-2021-47767

Wysokie

Opublikowano: 15/01/2026(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Streszczenie

CVE-2021-47767 dotyczy oprogramowania 10-Strike Network Inventory Explorer Pro w wersji 9.31. Podatność wynika z niecytowanej ścieżki usługi srvInventoryWebServer, która działa z uprawnieniami LocalSystem. Atakujący może wykorzystać tę lukę, umieszczając złośliwe pliki wykonywalne w segmentach ścieżki, co prowadzi do eskalacji uprawnień i wykonania kodu z uprawnieniami systemowymi.

Ocena ryzyka

Ryzyko dla organizacji jest krytyczne, ponieważ osoba atakująca może uzyskać pełną kontrolę nad systemem, co może prowadzić do przejęcia infrastruktury, kradzieży danych lub instalacji złośliwego oprogramowania. Podatność może być wykorzystana lokalnie przez użytkownika z ograniczonymi uprawnieniami.

Rekomendacja

Zaleca się natychmiastową aktualizację oprogramowania 10-Strike Network Inventory Explorer Pro do najnowszej wersji, która eliminuje tę podatność. Dodatkowo, należy sprawdzić i poprawić ścieżkę usługi, aby była cytowana, oraz ograniczyć uprawnienia konta usługi, jeśli to możliwe.

Inne podatności w 10-Strike Network Inventory Explorer Pro

CVE-2021-47772Krytyczne
10-Strike Network Inventory Explorer Pro 9.31 zawiera podatność na przepełnienie bufora w funkcji importu plików tekstowych, co umożliwia zdalne wykonanie kodu. Atakujący może stworzyć złośliwy plik tekstowy z odpowiednio skonstruowanym ładunkiem, aby wywołać reverse shell i wykonać dowolny kod na systemie docelowym.

Oryginalny opis (angielski, źródło NVD)

10-Strike Network Inventory Explorer Pro 9.31 contains an unquoted service path vulnerability in the srvInventoryWebServer service running with LocalSystem privileges. Attackers can exploit the unquoted path by placing malicious executables in potential path segments to achieve privilege escalation and execute code with system-level permissions.