CVE-2020-9753

Brak weryfikacji podpisu instalatora Flash w Naver Whale Browser Installer

CVSS 9.1v3.1pub. 2020-05-20upd. 2024-11-21

Naver Whale Browser Installer w wersjach przed 1.2.0.5 nie weryfikuje podpisu cyfrowego instalatora Flash, co umożliwia atakującemu podstawienie złośliwego pliku. Podatność jest krytyczna, ponieważ może zostać wykorzystana zdalnie bez uwierzytelnienia i interakcji użytkownika.

▸ Pokaż oryginał (EN)

Whale Browser Installer before 1.2.0.5 versions don't support signature verification for Flash installer.

🤖 Analiza AI

Jak działa

Instalator przeglądarki Whale pobiera lub uruchamia instalator Flash bez sprawdzenia jego podpisu cyfrowego (signature verification). Brak tej weryfikacji odpowiada CWE-347 (Improper Verification of Cryptographic Signature). Atakujący, który jest w stanie podstawić lub zmodyfikować plik instalatora Flash (np. poprzez atak man-in-the-middle lub manipulację lokalnym systemem plików), może dostarczyć złośliwy payload, który zostanie wykonany z uprawnieniami procesu instalatora.

Skutki

Atakujący może doprowadzić do wykonania dowolnego kodu na systemie ofiary oraz przejęcia kontroli nad poufnymi danymi i integralnością systemu, co odpowiada wysokiemu wpływowi na poufność i integralność wskazanemu w wektorze CVSS.

Mitygacja

Należy zaktualizować Naver Whale Browser Installer do wersji 1.2.0.5 lub nowszej. Szczegóły dostępne pod adresem: https://cve.naver.com/detail/cve-2020-9753