Vulnerabilidad en los permisos del archivo de configuración y la tubería nombrada en los privilegios de Windows en Splashtop Software Updater (CVE-2020-12431)
Gravedad CVSS v3.1:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
21/05/2020
Última modificación:
21/07/2021
Descripción
Se descubrió un problema de cambio de privilegios de Windows en Splashtop Software Updater versiones anteriores a la versión 1.5.6.16. Los permisos no seguros en el archivo de configuración y la tubería nombrada permiten una escalada de privilegios locales a NT AUTHORITY/SYSTEM, al forzar un cambio de permiso a cualquier archivo y directorio de Splashtop, con el secuestro de DLL resultante. Este producto se incluye con Splashtop Streamer (versiones anteriores a la versión 3.3.8.0) y Splashtop Business (versiones anteriores a la versión 3.3.8.0).
Impacto
Puntuación base 3.x
6.60
Gravedad 3.x
MEDIA
Puntuación base 2.0
6.30
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:splashtop:software_updater:*:*:*:*:*:*:*:* | 1.5.6.16 (excluyendo) | |
| cpe:2.3:a:splashtop:streamer:*:*:*:*:-:windows:*:* | 3.3.8.0 (excluyendo) | |
| cpe:2.3:a:splashtop:streamer:*:*:*:*:business:windows:*:* | 3.3.8.0 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página