Vulnerabilidad en los permisos del archivo de configuración y la tubería nombrada en los privilegios de Windows en Splashtop Software Updater (CVE-2020-12431)
Gravedad CVSS v3.1:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
21/05/2020
Última modificación:
17/06/2026
Descripción
Se descubrió un problema de cambio de privilegios de Windows en Splashtop Software Updater versiones anteriores a la versión 1.5.6.16. Los permisos no seguros en el archivo de configuración y la tubería nombrada permiten una escalada de privilegios locales a NT AUTHORITY/SYSTEM, al forzar un cambio de permiso a cualquier archivo y directorio de Splashtop, con el secuestro de DLL resultante. Este producto se incluye con Splashtop Streamer (versiones anteriores a la versión 3.3.8.0) y Splashtop Business (versiones anteriores a la versión 3.3.8.0).
Impacto
Puntuación base 3.x
6.60
Gravedad 3.x
MEDIA
Puntuación base 2.0
6.30
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:splashtop:software_updater:*:*:*:*:*:*:*:* | 1.5.6.16 (excluyendo) | |
| cpe:2.3:a:splashtop:streamer:*:*:*:*:-:windows:*:* | 3.3.8.0 (excluyendo) | |
| cpe:2.3:a:splashtop:streamer:*:*:*:*:business:windows:*:* | 3.3.8.0 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- https://improsec.com/tech-blog/privilege-escalation-vulnerability-in-splashtop-streamer
- https://support-splashtopbusiness.splashtop.com/hc/en-us/articles/360042648231-Splashtop-Streamer-version-3-3-8-0-for-Windows-released-includes-SOS-version-3-3-8-0
- https://improsec.com/tech-blog/privilege-escalation-vulnerability-in-splashtop-streamer
- https://support-splashtopbusiness.splashtop.com/hc/en-us/articles/360042648231-Splashtop-Streamer-version-3-3-8-0-for-Windows-released-includes-SOS-version-3-3-8-0



