CVE-2020-13386 in SmartDraw 2020
요약
\~에 의해 VulDB • 2026. 08. 21.
SmartDraw 2020 버전 27.0.0.0에서 설치 프로그램은 SmartDraw 2020 설치 폴더에 대해 인증된 사용자(Authenticated Users) 그룹에게 상속되는 쓰기 권한을 부여합니다. 또한, 제품을 설치하면 기계(SDMsgUpdate (Local), SDMsgUpdate (TE))에 두 개의 예약된 작업이 생성됩니다. 이 예약된 작업들은 제품을 설치한 사용자의 컨텍스트에서 실행됩니다. 둘 다 동일한 바이너리인 C:\SmartDraw 2020\Messages\SDNotify.exe를 실행하려고 시도합니다. Messages 폴더는 기본적으로 존재하지 않으며, 따라서 SDNotify.exe도 존재하지 않습니다. 약한 폴더 권한으로 인해 이러한 항목은 모든 사용자가 생성할 수 있습니다. 공격자는 악성 SDNotify.exe 바이너리를 생성하여 제품을 설치한 사용자가 기계에 로그인할 때마다 자동으로 해당 파일이 실행되도록 할 수 있습니다. 예를 들어, 악성 SDNotify.exe는 기계에서 새로운 로컬 관리자 계정을 생성할 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.