Vulnerabilidad en el componente Parallels Tools en Parallels Desktop (CVE-2022-34890)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

18/07/2022

Última modificación:

28/07/2022

Descripción

Esta vulnerabilidad permite a atacantes locales divulgar información confidencial en las instalaciones afectadas de Parallels Desktop versión 17.1.1 (51537). Un atacante debe obtener primero la capacidad de ejecutar código poco privilegiado en el sistema huésped de destino para poder explotar esta vulnerabilidad. El fallo específico se presenta en el componente Parallels Tools. El problema resulta de una falta de comprobación apropiada de un valor suministrado por el usuario antes de desreferenciarlo como puntero. Un atacante puede aprovechar esto junto con otras vulnerabilidades para escalar privilegios y ejecutar código arbitrario en el contexto del kernel. Era ZDI-CAN-16653

Impacto

Vector 3.x

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.80 ALTA
Vector: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Modificado
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto