CVE-2023-37250

WysokieCVSS 7.0

Opublikowano: 20/08/2023(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

Unity Parsec zawiera warunek wyścigu TOCTOU, który pozwala lokalnym atakującym na eskalację uprawnień do poziomu SYSTEM, jeśli Parsec został zainstalowany w trybie 'Per User'. Aplikacja celowo uruchamia DLL z katalogu należącego do użytkownika, ale miała zamiar zawsze przeprowadzać weryfikację integralności tych DLL.

Ocena ryzyka

Eskalacja uprawnień do poziomu SYSTEM może prowadzić do poważnych naruszeń bezpieczeństwa, umożliwiając atakującym pełną kontrolę nad systemem. Organizacje powinny być świadome ryzyka związanego z używaniem podatnej wersji oprogramowania.

Rekomendacja

Zaleca się aktualizację do wersji Parsec Loader 9, która zawiera poprawki eliminujące tę podatność. Należy również przeprowadzić audyt systemów w celu identyfikacji i usunięcia potencjalnych zagrożeń.

Inne podatności w Unity Parsec

CVE-2026-54424Wysokie
Podatność w Unity Parsec na systemie Windows umożliwia eskalację uprawnień poprzez nieprawidłowe użycie interfejsów API z uprzywilejowanymi uprawnieniami. Problem dotyczy wersji do v2026-05-04.0 włącznie, a załatana wersja to 150-104a. Użytkownik może doprowadzić do uruchomienia procesu parsecd.exe jako NT AUTHORITY\SYSTEM z kontrolowaną przez siebie wartością zmiennej środowiskowej AppData.

Oryginalny opis (angielski, źródło NVD)

Unity Parsec has a TOCTOU race condition that permits local attackers to escalate privileges to SYSTEM if Parsec was installed in "Per User" mode. The application intentionally launches DLLs from a user-owned directory but intended to always perform integrity verification of those DLLs. This affects Parsec Loader versions through 8. Parsec Loader 9 is a fixed version.