CVE-2026-34458
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Sandboxie-Plus w wersjach 1.17.2 i wcześniejszych zawiera podatność INI injection. Każdy standardowy użytkownik lokalny może ominąć ograniczenia konfiguracyjne (EditAdminOnly i ConfigPassword) i wstrzyknąć dowolne dyrektywy do globalnego pliku konfiguracyjnego Sandboxie.ini. Usługa tła pomija sprawdzanie autoryzacji dla wiadomości IPC dotyczących sekcji zaczynających się od UserSettings_, ale nie oczyszcza znaków CRLF w parametrach. Atakujący może wstrzyknąć nowy nagłówek sekcji piaskownicy z nieograniczonymi uprawnieniami, co umożliwia ucieczkę z piaskownicy i eskalację uprawnień do SYSTEM.
Ocena ryzyka
Atakujący może całkowicie ominąć izolację piaskownicy i uzyskać uprawnienia SYSTEM, co pozwala na pełną kontrolę nad systemem operacyjnym.
Rekomendacja
Należy natychmiast zaktualizować Sandboxie-Plus do wersji 1.17.3 lub nowszej, która zawiera poprawkę usuwającą tę podatność.
Inne podatności w Sandboxie-Plus
Zobacz wszystkie- CVE-2026-45313Wysokie
Podatność w Sandboxie-Plus przed wersją 1.17.6 pozwala procesowi w piaskownicy na wykonanie dowolnego kodu w procesie hosta poza piaskownicą. Funkcje GuiServer::WndHookRegisterSlave i GuiServer::WndHookNotifySlave nie weryfikują poprawności uchwytów wątku i wskaźnika funkcji, co umożliwia eskalację uprawnień.
- CVE-2026-34596Wysokie
W Sandboxie-Plus w wersjach 1.17.2 i wcześniejszych występuje podatność typu TOCTOU (Time-of-Check-to-Time-of-Use) podczas instalacji dodatków. Po zweryfikowaniu plików przez UpdUtil.exe, przed ich rozpakowaniem, nieuprzywilejowany użytkownik może podmienić plik files.cab na spreparowany, zawierający złośliwy plik wykonywalny, który zostanie uruchomiony z uprawnieniami SYSTEM.
- CVE-2026-34527Średnie
W Sandboxie-Plus w wersjach 1.17.2 i starszych funkcja HashPassword nieprawidłowo konwertuje skrót SHA-1 na postać szesnastkową, co redukuje entropię z 160 do 80 bitów, ułatwiając brute-force haseł.
- CVE-2026-34464Wysokie
W Sandboxie-Plus 1.17.2 i wcześniejszych, w handlerze NamedPipeServer::OpenHandler występuje przepełnienie bufora stosu przez wcscat bez sprawdzania null termination. Atakujący z piaskownicy może uciec z niej i uzyskać wykonanie kodu jako SYSTEM.
- CVE-2026-34462Wysokie
W Sandboxie-Plus 1.17.2 i wcześniejszych, w handlerach ProcessServer (KillAllHandler, SuspendAllHandler, RunSandboxedHandler) występuje przepełnienie bufora stosu przez wcscpy bez sprawdzania null termination. Atakujący lokalny może uzyskać wykonanie kodu jako SYSTEM.
- CVE-2026-34461Wysokie
W Sandboxie-Plus 1.17.2 i wcześniejszych, w handlerze SbieIniServer RunSbieCtrl występuje przepełnienie bufora stosu przez memcpy bez sprawdzania długości. Atakujący lokalny może uzyskać wykonanie kodu jako SYSTEM.
- CVE-2026-34459Wysokie
Sandboxie-Plus w wersji 1.17.2 i wcześniejszych zawiera dwie podatności w usłudze SbieSvc: wyciek niezainicjalizowanej pamięci stosu oraz przepełnienie bufora stosu. Łącznie umożliwiają one ucieczkę z sandboksa i eskalację uprawnień do SYSTEM. Łatka w wersji 1.17.3.
Oryginalny opis (angielski, źródło NVD)
Sandboxie-Plus is an open source sandbox-based isolation software for Windows. In versions 1.17.2 and earlier, an INI injection vulnerability allows any standard local user to bypass configuration restrictions (EditAdminOnly and ConfigPassword) and inject arbitrary directives into the global Sandboxie.ini configuration file. The background service skips authorization checks for IPC messages targeting sections beginning with UserSettings_, but does not sanitize CRLF characters in either the value parameter (via MSGID_SBIE_INI_ADD_SETTING) or the setting name parameter (via MSGID_SBIE_INI_SET_SETTING). An attacker can inject a new sandbox section header with unrestricted permissions, enabling sandbox escape and SYSTEM privilege escalation. This issue has been fixed in version 1.17.3.