CVE-2025-56231
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Tonec Internet Download Manager w wersji 6.42.41.1 i wcześniejszych nie weryfikuje poprawności certyfikatów SSL, co umożliwia atakującym ominięcie zabezpieczeń aktualizacji.
Ocena ryzyka
Atakujący może przechwycić i podmienić aktualizacje oprogramowania, instalując złośliwe oprogramowanie zamiast legalnych poprawek, co prowadzi do przejęcia kontroli nad systemem.
Rekomendacja
Należy natychmiast zaktualizować Internet Download Manager do najnowszej dostępnej wersji, która zawiera poprawkę walidacji certyfikatów SSL.
Inne podatności w Internet Download Manager
Zobacz wszystkie- CVE-2026-90493Wysokie
Wykryto podatność w Tonec Internet Download Manager do wersji 6.42 Build 63 na Windows. Sterownik jądra idmwfp.sys udostępnia interfejs urządzenia \\.\IDMWFP uwierzytelnionym użytkownikom lokalnym z uprawnieniami równoważnymi D:P(A;;GA;;;AU), a jego procedura obsługi IOCTL 0x12C028 nie weryfikuje uprawnień wywołującego ani nie ogranicza operacji do rejestru należącego do IDM. Umożliwia to niskouprzywilejowanemu użytkownikowi lokalnemu odczyt, tworzenie, modyfikację i usuwanie dowolnych wartości rejestru w HKLM i HKU.
- CVE-2020-37234Średnie
Internet Download Manager 6.38.12 zawiera podatność na przepełnienie bufora w komponencie Scheduler, która umożliwia lokalnym atakującym doprowadzenie do awarii aplikacji poprzez dostarczenie zbyt dużych danych. Atakujący mogą wkleić złośliwe dane przekraczające 5000 bajtów w pole 'Open the following file when done', aby wywołać stan odmowy usługi.
Oryginalny opis (angielski, źródło NVD)
Tonec Internet Download Manager 6.42.41.1 and earlier suffers from Missing SSL Certificate Validation, which allows attackers to bypass update protections.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS