CVE-2025-54081
ŚrednieCVSS 6.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Usługa Windows SunshineService jest instalowana z niecytowaną ścieżką do pliku wykonywalnego. Jeśli Sunshine jest zainstalowany w katalogu zawierającym spację w nazwie, Menedżer sterowania usługami (SCM) interpretuje ścieżkę stopniowo i może wykonać złośliwy plik umieszczony wcześniej w ciągu wyszukiwania. Problem został naprawiony w wersji 2025.923.33222.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania złośliwego kodu z uprawnieniami usługi, co może prowadzić do przejęcia kontroli nad systemem lub eskalacji uprawnień.
Rekomendacja
Zaleca się natychmiastową aktualizację Sunshine do wersji 2025.923.33222 lub nowszej, a także sprawdzenie, czy w ścieżce instalacji nie występują spacje.
Inne podatności w Sunshine
Zobacz wszystkie- CVE-2026-111044Wysokie
Sunshine w wersjach od 2026.329.165800 do 2026.906.222525 akceptował każdy certyfikat klienta, który łańcuchowo pochodził od zapisanego certyfikatu sparowanego klienta, nie wymagając, aby był to dokładnie ten sam włączony certyfikat tożsamości. Porównanie tekstu certyfikatu odbywało się bez kanonizacji równoważnych kodowań PEM, co pozwalało wcześniej sparowanemu klientowi na obejście kontroli Disable.
- CVE-2026-32253Krytyczne
W Sunshine, samodzielnie hostowanym serwerze strumieniowania gier dla Moonlight, w wersjach przed 2026.516.143833, uwierzytelnianie certyfikatem klienta może zostać ominięte z powodu sposobu obsługi wyników weryfikacji OpenSSL. Funkcja zwrotna weryfikacji traktuje niektóre błędy jako sukces, co pozwala na użycie niezaufanego certyfikatu.
Oryginalny opis (angielski, źródło NVD)
Sunshine is a self-hosted game stream host for Moonlight. Prior to version 2025.923.33222, the Windows service SunshineService is installed with an unquoted executable path. If Sunshine is installed in a directory whose name includes a space, the Service Control Manager (SCM) interprets the path incrementally and may execute a malicious binary placed earlier in the search string. This issue has been patched in version 2025.923.33222.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS