CVE-2020-13386
Təsvir
SmartDraw 2020 27.0.0.0 versiyasında quraşdırıcı proqram, SmartDraw 2020 quraşdırma qovluğunda Authenticated Users qrupuna irsi yazı icazələri verir. Əlavə olaraq, məhsul quraşdırıldıqda maşında iki planlaşdırılmış tapşırıq — SDMsgUpdate (Local) və SDMsgUpdate (TE) yaradılır. Planlaşdırılmış tapşırıqlar məhsulu quraşdıran istifadəçinin kontekstində işləyir. Hər iki planlaşdırılmış tapşırıq eyni ikili faylı, C:\SmartDraw 2020\Messages\SDNotify.exe faylını işə salmağa çalışır. Messages qovluğu standart olaraq mövcud deyil və buna görə də SDNotify.exe faylı da mövcud olmur. Qovluğun zəif icazələri səbəbindən bunlar hər hansı bir istifadəçi tərəfindən yaradıla bilər. Beləliklə, bədniyyətli aktor zərərli SDNotify.exe ikili faylı yarada bilər və məhsulu quraşdıran istifadəçi maşına daxil olduqda onun avtomatik işə düşməsini təmin edə bilər. Zərərli SDNotify.exe, məsələn, maşında yeni lokal administrator hesabı yarada bilər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| smartdraw smartdraw_2020 | 27.0.0.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.