CVE-2022-24140
ŚrednieCVSS 6.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
W produktach IObit (Advanced System Care 15, iTop Screen Recorder 2.1, iTop VPN 3.2, Driver Booster 9, iTop Screenshot) procedura aktualizacji pobiera plik konfiguracyjny przez niezabezpieczone połączenie HTTP. Atakujący może przechwycić tę komunikację i podmienić plik konfiguracyjny, wskazując złośliwe lokalizacje aktualizacji, co prowadzi do zdalnego wykonania kodu z uprawnieniami administratora.
Ocena ryzyka
Organizacja narażona jest na przejęcie kontroli nad stacjami roboczymi, na których zainstalowano podatne oprogramowanie. Atakujący może uzyskać pełny dostęp do systemu, zainstalować złośliwe oprogramowanie lub wykraść dane.
Rekomendacja
Należy natychmiast zaktualizować wszystkie wymienione produkty IObit do najnowszych wersji, które eliminują podatność. Dodatkowo, w miarę możliwości, należy wymusić korzystanie z bezpiecznych połączeń HTTPS dla wszystkich aktualizacji.
Oryginalny opis (angielski, źródło NVD)
IOBit Advanced System Care 15, iTop Screen Recorder 2.1, iTop VPN 3.2, Driver Booster 9, and iTop Screenshot sends HTTP requests in their update procedure in order to download a config file. After downloading the config file, the products will parse the HTTP location of the update from the file and will try to install the update automatically with ADMIN privileges. An attacker Intercepting this communication can supply the product a fake config file with malicious locations for the updates thus gaining a remote code execution on an endpoint.