Avira Internet Security содержит десериализацию уязвимости ненадежных данных в компоненте System Speedup. Процесс Avira.SystemSpeedup.RealTimeOptimizer.exe, который выполняется с привилегиями СИСТЕМЫ, десериализует данные из файла, расположенного в C:\\ProgramData, с помощью .NET BinaryFormatter без реализации проверки входных данных или мер безопасности десериализации. Поскольку файл может быть создан или изменен локальным пользователем в конфигурациях по умолчанию, злоумышленник может предоставить созданную сериализованную полезную нагрузку, которая десериализуется привилегированным процессом, что приводит к выполнению произвольного кода как СИСТЕМНОГО.
Показать оригинальное описание (EN)
Avira Internet Security contains a deserialization of untrusted data vulnerability in the System Speedup component. The Avira.SystemSpeedup.RealTimeOptimizer.exe process, which runs with SYSTEM privileges, deserializes data from a file located in C:\\ProgramData using .NET BinaryFormatter without implementing input validation or deserialization safeguards. Because the file can be created or modified by a local user in default configurations, an attacker can supply a crafted serialized payload that is deserialized by the privileged process, resulting in arbitrary code execution as SYSTEM.
Характеристики атаки
Последствия
Строка CVSS v4.0