CVE-2023-27133

TSplus Remote Work — słabe uprawnienia plików umożliwiające privilege escalation

CVSS 9.8v3.1pub. 2023-10-17upd. 2024-11-21

TSplus Remote Work 16.0.0.0 przyznaje zbyt słabe uprawnienia do plików .exe, .js i .html w katalogu instalacyjnym, co może pozwolić lokalnemu użytkownikowi na eskalację uprawnień. Podatność otrzymała ocenę krytyczną CVSS 9.8.

▸ Pokaż oryginał (EN)

TSplus Remote Work 16.0.0.0 has weak permissions for .exe, .js, and .html files under the %PROGRAMFILES(X86)%\TSplus-RemoteWork\Clients\www folder. This may enable privilege escalation if a different local user modifies a file. NOTE: CVE-2023-31067 and CVE-2023-31068 are only about the TSplus Remote Access product, not the TSplus Remote Work product.

🤖 Analiza AI

Jak działa

Pliki wykonywalne i skryptowe (.exe, .js, .html) w katalogu %PROGRAMFILES(X86)%\TSplus-RemoteWork\Clients\www są dostępne z nadmiernie liberalnymi uprawnieniami (CWE-276 — domyślnie zbyt szerokie uprawnienia). Lokalny użytkownik systemu, który nie powinien mieć uprawnień do modyfikacji tych plików, może je nadpisać własnym złośliwym kodem. Jeśli zmodyfikowany plik zostanie następnie wykonany przez konto z wyższymi uprawnieniami (np. przez usługę lub administratora), atakujący uzyska podniesiony poziom dostępu.

Skutki

Atakujący z dostępem lokalnym do systemu może zmodyfikować pliki aplikacji i uzyskać privilege escalation, potencjalnie przejmując pełną kontrolę nad systemem (wysoki wpływ na poufność, integralność i dostępność).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ręczne zweryfikowanie i zaostrzenie uprawnień systemu plików dla katalogu %PROGRAMFILES(X86)%\TSplus-RemoteWork\Clients\www, ograniczając możliwość zapisu wyłącznie do kont administracyjnych.

Kogo dotyczy

TSplus Remote Work w wersji 16.0.0.0. Uwaga: podatność dotyczy wyłącznie produktu TSplus Remote Work, a nie TSplus Remote Access.

Uwagi

Podatność dotyczy wyłącznie produktu TSplus Remote Work — producent wyraźnie odróżnia ją od powiązanych CVE-2023-31067 i CVE-2023-31068, które odnoszą się do produktu TSplus Remote Access. Publiczny exploit dostępny jest w serwisie Packet Storm Security (referencje).