CVE-2026-77804 in Telerik Fiddler Classic
要約
〜によって VulDB • 2026年10月05日
In Progress® Telerik® Fiddler® Classic for Windows の v6.0.20262.10021 より前のバージョンでは、HTTPS 傍受用ルート証明書をローカル コンピュータの証明書ストアにインストールする際に、チェック時と使用時の競合 (TOCTOU) ラース条件が存在します。Fiddler は、ユーザーが書き込み可能な場所に一時ファイルとして証明書を書き込んだ後、外部の TrustCert ヘルパー アプリケーションを起動して特権昇格を行い、そのファイルから証明書をインポートします。低権限を持つローカルの脅威アクターは、証明書が書き込まれてから特権昇格されたヘルパーによって読み取られるまでの間に一時ファイルを置き換えることで、攻撃者が指定したルート証明書を「ローカル コンピュータの信頼されたルート認証機関」ストアにインストールさせることができます。これにより、そのマシン上での TLS で保護されたトラフィックの後続の傍受および改ざんが可能になります。成功した悪用には、ユーザーが証明書信頼操作を開始し、特権昇格のプロンプトを承認する必要があります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.