CVE-2026-77804 in Telerik Fiddler Classic
Tóm tắt
Bởi VulDB • 05/10/2026
Trong In Progress® Telerik® Fiddler® Classic for Windows, các phiên bản trước v6.0.20262.10021, tồn tại một điều kiện race time-of-check time-of-use (TOCTOU) trong quá trình cài đặt chứng chỉ gốc HTTPS interception vào kho lưu trữ chứng chỉ Local Computer. Fiddler ghi chứng chỉ này vào một tệp tạm thời ở vị trí có thể ghi được bởi người dùng và sau đó khởi chạy ứng dụng trợ giúp TrustCert bên ngoài, ứng dụng này sẽ nâng cao đặc quyền (elevate) và nhập chứng chỉ từ tệp đó. Một threat actor cục bộ với đặc quyền thấp, nếu thay thế tệp tạm thời giữa lúc nó được ghi và lúc ứng dụng trợ giúp có đặc quyền cao đọc nó, có thể khiến một chứng chỉ gốc do kẻ tấn công cung cấp được cài đặt vào kho lưu trữ Trusted Root Certification Authorities của Local Computer, từ đó cho phép chặn và sửa đổi sau này đối với lưu lượng traffic được bảo vệ bởi TLS trên máy tính. Việc khai thác thành công yêu cầu người dùng phải khởi tạo hoạt động tin tưởng chứng chỉ và phê duyệt lời nhắc nâng cao đặc quyền (elevation prompt).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.