Vulnerabilidad en Parallels Desktop (CVE-2023-50227)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-787 Escritura fuera de límites

Fecha de publicación:

03/05/2024

Última modificación:

08/08/2025

Descripción

Vulnerabilidad de ejecución remota de código de escritura fuera de los límites virtio-gpu de Parallels Desktop. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en instalaciones afectadas de Parallels Desktop. Se requiere la interacción del usuario para aprovechar esta vulnerabilidad, ya que el objetivo en un sistema invitado debe visitar una página maliciosa o abrir un archivo malicioso. La falla específica existe dentro del dispositivo virtual virtio-gpu. El problema se debe a la falta de una validación adecuada de los datos proporcionados por el usuario, lo que puede provocar una escritura más allá del final de un búfer asignado. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del hipervisor. Era ZDI-CAN-21260.

Impacto

Vector 3.x

CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.30 ALTA
Vector: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto