Vulnerabilidad en En Demonio APC UPS (CVE-2017-7884)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-427 Elemento no controlado en la ruta de búsqueda

Fecha de publicación:

16/06/2017

Última modificación:

20/04/2025

Descripción

En Demonio APC UPS hasta versión 3.14.14 de Adam Kropelin adk0212 , la instalación por defecto de APCUPSD permite que un usuario identificado local, pero no privilegiado, ejecute código arbitrario con privilegios elevados al reemplazar el servicio ejecutable apcupsd.exe con un ejecutable malicioso que se ejecutará con privilegios SYSTEM en el inicio. Esto ocurre debido a los permisos "RW NT AUTHORITY\Authenticated Users" para %SYSTEMDRIVE%\apcupsd\bin\apcupsd.exe.

Impacto

Vector 3.x

CVSS:3.0/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.40 ALTA
Vector: CVSS:3.0/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

8.40

Gravedad 3.x

ALTA

Vector 2.0

AV:L/AC:L/Au:N/C:C/I:C/A:C CVSS v2.0 Severidad y Métricas:

Puntuación base: 7.20 ALTA
Vector: AV:L/AC:L/Au:N/C:C/I:C/A:C

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Completo
Impacto a la integridad (I): Completo
Impacto a la disponibilidad (A): Completo