CVE-2022-24141
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
Podatność w iTop VPN 3.2 pozwala atakującemu na przejęcie tokena innego użytkownika poprzez utworzenie nazwanego potoku o tej samej nazwie, co używany przez komponent iTopVPNmini.exe. Atakujący nasłuchuje połączeń i nadużywa funkcji ImpersonateNamedPipeClient().
Ocena ryzyka
Ryzyko polega na możliwości eskalacji uprawnień przez lokalnego atakującego, co może prowadzić do nieautoryzowanego dostępu do zasobów systemowych i danych innych użytkowników.
Rekomendacja
Zaleca się natychmiastową aktualizację iTop VPN do najnowszej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do systemu dla nieufnych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The iTopVPNmini.exe component of iTop VPN 3.2 will try to connect to datastate_iTopVPN_Pipe_Server on a loop. An attacker that opened a named pipe with the same name can use it to gain the token of another user by listening for connections and abusing ImpersonateNamedPipeClient().