CVE-2024-49360

Sandboxie, 32-bit ve 64-bit Windows NT tabanlı işletim sistemleri için sandbox tabanlı bir izolasyon yazılımıdır. Hiçbir ayrıcalığı olmayan kimliği doğrulanmış bir kullanıcı (**UserA**), `C:\Sandbox\UserB\xxx` sandbox klasörlerinde bulunan diğer kullanıcılara ait oluşturulmuş tüm dosyaları okuma yetkisine sahiptir. Herhangi bir sandbox dışında `explorer.exe` veya `cmd.exe` kullanabilen kimliği doğrulanmış bir saldırgan, `C:\Sandbox\xxx` konumundaki diğer kullanıcıların dosyalarını okuyabilir. Varsayılan olarak Windows 7+ üzerinde, `C:\Users\UserA` klasörü **UserB** tarafından okunamaz. Sandbox işlemi sırasında düzenlenen veya oluşturulan tüm dosyalar bu güvenlik açığından etkilenmektedir. C:\Users içindeki tüm dosyalar güvenlidir. Eğer `UserB` bir sandbox içinde cmd çalıştırırsa, `C:\Sandox\UserA` konumuna erişebilecektir. Ek olarak, eğer **UserB** kötü amaçlı ACL'lere sahip bir `C:\Sandbox\UserA` klasörü oluşturursa, **UserA** sandbox kullandığında Sandboxie ACL'leri sıfırlamaz! Bu sorun henüz düzeltilmemiştir. Kullanıcıların, Sandboxie kullanarak sistemlerine olan erişimi sınırlandırmaları önerilir.