CVE-2020-13386
Açıklama
SmartDraw 2020 27.0.0.0 sürümünde, yükleyici, SmartDraw 2020 kurulum klasörü üzerinde Authenticated Users grubuna kalıtımlı yazma izinleri vermektedir. Ek olarak, ürün yüklendiğinde makinede SDMsgUpdate (Local) ve SDMsgUpdate (TE) olmak üzere iki zamanlanmış görev oluşturulur. Zamanlanmış görevler, ürünü yükleyen kullanıcının bağlamında çalışır. Her iki zamanlanmış görev de aynı ikili dosyayı, C:\SmartDraw 2020\Messages\SDNotify.exe dosyasını çalıştırmayı dener. Messages klasörü varsayılan olarak mevcut değildir ve (dolayısıyla) SDNotify.exe de mevcut değildir. Zayıf klasör izinleri nedeniyle bunlar herhangi bir kullanıcı tarafından oluşturulabilir. Bu nedenle kötü niyetli bir aktör, kötü amaçlı bir SDNotify.exe ikili dosyası oluşturabilir ve ürünü yükleyen kullanıcı makineye her giriş yaptığında bu dosyanın otomatik olarak çalışmasını sağlayabilir. Kötü amaçlı SDNotify.exe, örneğin makinede yeni bir yerel yönetici hesabı oluşturabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| smartdraw smartdraw_2020 | 27.0.0.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.