Vulnerabilidad en ConnectWise Control (CVE-2023-25718)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

13/02/2023

Última modificación:

19/06/2025

Descripción

En ConnectWise Control hasta 22.9.10032 (anteriormente conocido como ScreenConnect), después de firmar un archivo ejecutable, se pueden agregar instrucciones adicionales sin invalidar la firma, como instrucciones que dan como resultado ofrecer al usuario final un archivo ejecutable (diferente) controlado por el atacante. Es posible que el usuario final permita que se realice la descarga y ejecución de este archivo. Hay opciones de configuración de ConnectWise Control que agregan mitigaciones. NOTA: esto puede superponerse a CVE-2023-25719. NOTA: la posición del proveedor es que esta supuesta vulnerabilidad representa una "falta fundamental de comprensión del comportamiento de firma del código Authenticode".

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto