Компания Synopsys обнаружила опасную уязвимость локального повышения привилегий (local privilege-escalation, LPE) в Kaspersky VPN Secure Connection для Windows, которая позволяет злоумышленнику, прошедшему проверку подлинности, удалить файл в системе жертвы.
Ошибка CVE-2022-27535 с оценкой CVSS 5.0 из 10 находится в части приложения «Инструменты поддержки». С ее помощью киберпреступник может инициировать произвольное удаление файлов в системе.
«Это может привести к сбоям в работе устройства или удалению важных системных файлов, необходимых для корректной работы системы», — заявил представитель «Лаборатории Касперского».
Провести эту атаку можно только одним способом: злоумышленник должен создать определенный файл и убедить пользователя выполнить команду в приложении «Удалить все служебные данные и отчеты» или «Сохранить отчет на вашем компьютере».
Synopsys не сталкивалась с использованием этой ошибки, но «скорее всего, злоумышленники примут ее к сведению как возможную технику». Пользователям следует выполнить обновление до версии 21.7.7.393 или более поздней, чтобы исправить свои системы. Хочется отметить, что «Лаборатория Касперского» оперативно выпустила исправление для данной уязвимости. С отчетом от ЛК можно ознакомиться здесь .
Источник: SecurityLab