- شناسه CVE-2024-12754 :CVE
- CWE-59 :CWE
- yes :Advisory
- منتشر شده: دسامبر 30, 2024
- به روز شده: دسامبر 30, 2024
- امتیاز: 5.5
- نوع حمله: Unknown
- اثر گذاری: Information Disclosure
- حوزه: نرم افزارهای کاربردی
- برند: AnyDesk
- محصول: AnyDesk
- وضعیتPublished :CVE
- No :POC
- وضعیت آسیب پذیری: patch شده
چکیده
از طریق این آسیب پذیری امکان افشای اطلاعات در AnyDesk از طریق اتصال نادرست قبل از دسترسی به فایل وجود دارد. این آسیب‌پذیری به مهاجمان محلی(Local) این امکان را می‌دهد که اطلاعات حساس را در نسخه های نصب شده آسیب‌دیده AnyDesk افشا کنند. برای اکسپلویت این آسیب‌پذیری، یک مهاجم ابتدا باید توانایی اجرای کد با سطح دسترسی محدود در سیستم هدف را بدست آورد. نقص خاصی در نحوه مدیریت تصاویر پس‌زمینه وجود دارد. با ایجاد یک Junction (اتصال)، مهاجم می‌تواند از سرویس استفاده کرده و فایل‌های دلخواه را بخواند. مهاجم می‌تواند از این آسیب‌پذیری برای افشای اطلاعات ذخیره‌شده مانند گواهی های اعتبار(credentials) استفاده کرده و باعث خطر بیشتر برای سیستم شود.
توضیحات
این مشکل تحت CWE-59 طبقه‌بندی شده است که نشان‌دهنده تلاش محصول برای دسترسی به یک فایل بر اساس نام آن است، بدون آنکه به‌طور صحیح از شناسایی آن به‌عنوان یک لینک یا shortcut که به یک منبع غیرمطلوب اشاره می‌کند، جلوگیری شود. این مشکل می‌تواند بر محرمانگی تأثیر بگذارد. اکسپلویت این آسیب پذیری آسان است. حمله نیازمند دسترسی محلی است.
CVSS
| Score | Severity | Version | Vector String |
| 5.5 | MEDIUM | 3.1 | CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
لیست محصولات آسیب پذیر
| Versions | Product |
| affected at 8.0.9.0 | AnyDesk |
لیست محصولات بروز شده
| Versions | Product |
| 9.0.1 | AnyDesk |
نتیجه گیری
برای جلوگیری از نفوذ از نسخه بروزرسانی شده استفاده کنید.
منابع
- https://www.cve.org/CVERecord?id=CVE-2024-12754
- https://www.cvedetails.com/cve/CVE-2024-12754/
- https://www.zerodayinitiative.com/advisories/ZDI-24-1711/
- https://anydesk.com/en/downloads/windows
- https://vulmon.com/vulnerabilitydetails?qid=CVE-2024-12754
- https://vuldb.com/?id.289038
- https://nvd.nist.gov/vuln/detail/CVE-2024-12754
- https://cwe.mitre.org/data/definitions/59.html
