Apple Remote Desktop before 3.7 does not properly use server authentication-type information during decisions about whether to present an un

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• apple apple remote desktopдо 3.6.2 включительно
• apple apple remote desktop3.0.0
• apple apple remote desktop3.1
• apple apple remote desktop3.2
• apple apple remote desktop3.2.1
• apple apple remote desktop3.2.2
• apple apple remote desktop3.3
• apple apple remote desktop3.3.1
• apple apple remote desktop3.3.2
• apple apple remote desktop3.4
• apple apple remote desktop3.5
• apple apple remote desktop3.5.1
• apple apple remote desktop3.5.2
• apple apple remote desktop3.5.3
• apple apple remote desktop3.5.4
• apple apple remote desktop3.6
• apple apple remote desktop3.6.1

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2004-0962Apple Remote Desktop Client 1.2.4 executes a GUI application as root when it is started by an Apple Remote Desktop Administrator application
  41В плане
• CVE-2013-5135Format string vulnerability in Screen Sharing Server in Apple Mac OS X before 10.9 and Apple Remote Desktop before 3.5.4 allows remote attac
  33Наблюдать
• CVE-2006-4887Apple Remote Desktop (ARD) for Mac OS X 10.2.8 and later does not drop privileges on the remote machine while installing certain application
  28Наблюдать
• CVE-2012-0681Apple Remote Desktop before 3.6.1 does not recognize the "Encrypt all network data" setting during connections to third-party VNC servers, w
  18Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.