Chocolatey Boxstarter 安全漏洞

漏洞信息详情

Chocolatey Boxstarter 安全漏洞

CNNVD编号：CNNVD-202010-1082
危害等级：高危-->
危害等级：高危
CVE编号： CVE-2020-15264
漏洞类型：其他
发布时间： 2020-10-20
威胁类型：本地
更新时间： 2021-08-16
厂商：
漏洞来源：

漏洞简介

Chocolatey Boxstarter是美国chocolatey（Chocolatey）公司的一款适用于安装虚拟Windows环境的虚拟机管理软件。

Boxstarter installer 2.13.0之前版本存在安全漏洞，该漏洞源于将C：ProgramDataBoxstarter配置为在系统范围的PATH环境变量中。但是，该目录可由普通的、无特权的用户写入。要利用此漏洞，请将一个DLL放在特权服务正在查找的目录中。当Windows启动时，它将使用系统特权执行DllMain()中的代码。攻击者可利用该漏洞使用系统特权执行代码。

漏洞公告

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://github.com/chocolatey/boxstarter/security/advisories/GHSA-rpgx-h675-r3jf

参考网址

来源:MISC

链接:https://github.com/chocolatey/boxstarter/commit/67e320491813550b48900e87105a34ceefdcf633

来源:CONFIRM

链接:https://github.com/chocolatey/boxstarter/security/advisories/GHSA-rpgx-h675-r3jf

来源:www.kb.cert.org

链接:https://www.kb.cert.org/vuls/id/208577

来源:nvd.nist.gov

链接:https://nvd.nist.gov/vuln/detail/CVE-2020-15264

受影响实体

暂无

补丁

Boxstarter installer 安全漏洞的修复措施

正文

Chocolatey Boxstarter 安全漏洞

漏洞信息详情