多款Panda Security产品权限许可和访问控制问题漏洞

CVE编号

CVE-2019-12042

利用情况

暂无

补丁情况

N/A

披露时间

2019-05-24

漏洞描述

Panda Security Antivirus等都是西班牙熊猫安全（Panda Security）公司的产品。Panda Security Antivirus是一套杀毒软件。Panda Security Dome是一款针对勒索软件和间谍软件的防病毒产品。Panda Security Internet Security是一套基于云技术的杀毒软件。 多款Panda Security产品中存在安全漏洞。攻击者可利用该漏洞提升权限。以下产品及版本受到影响：Panda Antivirus 18.07.03之前版本；Panda Antivirus Pro 18.07.03之前版本；Panda Dome 18.07.03之前版本；Panda Global Protection 18.07.03之前版本；Panda Gold Protection 18.07.03之前版本；Panda Internet Security 18.07.03之前版本。

解决建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://www.pandasecurity.com/usa/support/card?id=100063

参考链接
https://github.com/SouhailHammou/Panda-Antivirus-LPE
https://rce4fun.blogspot.com/2019/05/panda-antivirus-local-privilege.html
https://www.pandasecurity.com/usa/support/card?id=100063

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	pandasecurity	panda_antivirus	*		Up to (excluding) 18.07.03
	运行在以下环境
	应用	pandasecurity	panda_antivirus_pro	*		Up to (excluding) 18.07.03
	运行在以下环境
	应用	pandasecurity	panda_dome	*		Up to (excluding) 18.07.03
	运行在以下环境
	应用	pandasecurity	panda_global_protection	*		Up to (excluding) 18.07.03
	运行在以下环境
	应用	pandasecurity	panda_gold_protection	*		Up to (excluding) 18.07.03
	运行在以下环境
	应用	pandasecurity	panda_internet_security	*		Up to (excluding) 18.07.03

CVSS3评分 9.8

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CWE-ID 漏洞类型 CWE-732 关键资源的不正确权限授予