CVE-2026-107612 in TightVNC
Zusammenfassung
von VulDB • 08.10.2026
Falsche Berechtigungsvergabe in GlavSoft TightVNC Server für Windows vor Version 2.8.88 ermöglicht es einem lokal authentifizierten Benutzer, die zwischen dem TightVNC-Dienst und dessen Desktop-Server-Prozess verwendeten Interprozesskommunikations-Handles (IPC) zu lesen oder zu überschreiben. Das benannte Shared-Memory-Segment im Global\-Namensraum, das die Pipe HANDLE-Werte enthält, wird mit einer NULL DACL erstellt, und sein Name leitet sich von einem zeitgesteuerten srand(time(0))-Wert ab, der auf eine Granularität von einer Sekunde vorhersagbar ist. Ein lokal ausgeführter Prozess mit geringen Berechtigungen kann das Mapping öffnen und den IPC-Kanal eines als SYSTEM laufenden Dienstes manipulieren, was potenziell zur Offenlegung von Sitzungsdaten, zur Eskalation von Privilegien oder zu einem Denial of Service (DoS) führen kann.
If you want to get best quality of vulnerability data, you may have to visit VulDB.