CVE-2026-34458
Açıklama
Sandboxie-Plus, Windows için açık kaynaklı, sandbox tabanlı bir izolasyon yazılımıdır. 1.17.2 ve önceki sürümlerde, bir INI enjeksiyonu zafiyeti, herhangi bir standart yerel kullanıcının yapılandırma kısıtlamalarını (EditAdminOnly ve ConfigPassword) atlatmasına ve küresel Sandboxie.ini yapılandırma dosyasına rastgele direktifler enjekte etmesine olanak tanır. Arka plan hizmeti, UserSettings_ ile başlayan bölümleri hedefleyen IPC mesajları için yetkilendirme kontrollerini atlar ancak ne değer parametresindeki (MSGID_SBIE_INI_ADD_SETTING aracılığıyla) ne de ayar adı parametresindeki (MSGID_SBIE_INI_SET_SETTING aracılığıyla) CRLF karakterlerini temizlemez. Bir saldırgan, kısıtlanmamış izinlere sahip yeni bir sandbox bölüm başlığı enjekte ederek sandbox'tan kaçabilir ve SYSTEM yetki yükseltmesi gerçekleştirebilir. Bu sorun 1.17.3 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- sandboxie-plus sandboxie1.17.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sandboxie-plus sandboxie | v < 1.17.3 | 1.17.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.