CVE-2023-37907

WysokieCVSS 7.0

Opublikowano: 25/07/2023(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Cryptomator to oprogramowanie do szyfrowania danych dla użytkowników przechowujących pliki w chmurze. W wersjach przed 1.9.2, instalator MSI dostępny na stronie głównej umożliwia eskalację uprawnień lokalnych dla użytkowników o niskich uprawnieniach, jeśli oprogramowanie jest już zainstalowane.

Ocena ryzyka

Problem występuje, ponieważ funkcja naprawy MSI uruchamia dwa administracyjne CMD, co pozwala na prostą eskalację uprawnień. Może to prowadzić do nieautoryzowanego dostępu do systemu.

Rekomendacja

Zaleca się aktualizację do wersji 1.9.2, aby usunąć tę podatność. Użytkownicy powinni również rozważyć ograniczenie dostępu do instalatora MSI.

Inne podatności w Cryptomator MSI installer

CVE-2023-39520Średnie
Cryptomator w wersji 1.9.2 umożliwia lokalne podniesienie uprawnień dla użytkowników o niskich uprawnieniach poprzez funkcję `naprawy` w instalatorze MSI. Problem wynika z uruchamiania Powershella z uprawnieniami SYSTEM bez parametru `-NoProfile`, co powoduje załadowanie profilu użytkownika.

Oryginalny opis (angielski, źródło NVD)

Cryptomator is data encryption software for users who store their files in the cloud. Prior to version 1.9.2, the MSI installer provided on the homepage allows local privilege escalation (LPE) for low privileged users, if already installed. The problem occurs as the repair function of the MSI spawns two administrative CMDs. A simple LPE is possible via a breakout. Version 1.9.2 fixes this issue.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS