Vulnerabilidad en el archivo openssl.cnf en McAfee Agent (CVE-2022-0166)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-427 Elemento no controlado en la ruta de búsqueda

Fecha de publicación:

19/01/2022

Última modificación:

07/11/2023

Descripción

Una vulnerabilidad de escalada de privilegios en McAfee Agent versiones anteriores a 5.7.5. McAfee Agent usa el archivo openssl.cnf durante el proceso de construcción para especificar la variable OPENSSLDIR como un subdirectorio dentro del directorio de instalación. Un usuario con bajos privilegios podría haber creado subdirectorios y ejecutar código arbitrario con privilegios SYSTEM creando la ruta apropiada al archivo openssl.cnf malicioso creado específicamente

Impacto

Vector 3.x

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.80 ALTA
Vector: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

7.80

Gravedad 3.x

ALTA

Vector 2.0

AV:L/AC:L/Au:N/C:C/I:C/A:C CVSS v2.0 Severidad y Métricas:

Puntuación base: 7.20 ALTA
Vector: AV:L/AC:L/Au:N/C:C/I:C/A:C

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Completo
Impacto a la integridad (I): Completo
Impacto a la disponibilidad (A): Completo