CVE-2026-76159

WysokieCVSS 7.0

Opublikowano: 15/09/2026(UTC)Zaktualizowano: 16/09/2026(UTC)Przetłumaczono: 15/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.10%

Percentyl 1 - wyżej niż 1% wszystkich znanych CVE

Streszczenie

W Duplicati dla Windows w wersjach przed v2.4.0.0 występuje nieprawidłowe przypisanie uprawnień do krytycznego zasobu w loaderze konfiguracji. Lokalny atakujący z niskimi uprawnieniami może podnieść uprawnienia do NT AUTHORITY\SYSTEM poprzez plik preload.json kontrolowany przez atakującego.

Ocena ryzyka

Lokalny atakujący z niskimi uprawnieniami może uzyskać uprawnienia NT AUTHORITY\SYSTEM, co prowadzi do pełnej kompromitacji systemu. Wymaga lokalnego dostępu do maszyny.

Rekomendacja

Zaktualizuj Duplicati dla Windows do wersji v2.4.0.0 lub nowszej. Do czasu aktualizacji ogranicz lokalny dostęp do maszyn z Duplicati.

Inne podatności w Duplicati

CVE-2026-16157Wysokie
Duplicati v2.3.0.1 nadaje uwierzytelnionym użytkownikom uprawnienia MODIFY, które propagują się do wszystkich podkatalogów. Instalacja poza Program Files lub na niestandardowej ścieżce tworzy usługę LocalSystem działającą z katalogu, do którego każdy standardowy użytkownik lokalny ma prawo zapisu. Taki użytkownik może nadpisać dowolną bibliotekę DLL w katalogu usługi. Po ponownym uruchomieniu usługi system ładuje bibliotekę DLL atakującego przed wykonaniem zarządzanego kodu, wykonując dowolny kod jako SYSTEM.

Oryginalny opis (angielski, źródło NVD)

Incorrect Permission Assignment for Critical Resource in the configuration loader of Duplicati for Windows versions before v2.4.0.0 allows a local low-privileged attacker to escalate privileges to NT AUTHORITY\SYSTEM via an attacker-controlled preload.json file.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS