McAfee Endpoint Security 直到10.7.0 于 Windows User Permission 权限升级

CVSS 元温度得分	当前攻击价格 (≈)	CTI兴趣分数
4.1	$0-$5k	0.00

在 McAfee Endpoint Security 直到10.7.0中曾发现一漏洞，此漏洞被分类为致命。此漏洞会影响未知部件的组件User Permission。手动调试的不合法输入可导致权限升级。漏洞的CWE定义是 CWE-264。依据CVE的摘要如下：

Privilege escalation vulnerability in the administrative user interface in McAfee Endpoint Security (ENS) for Windows prior to 10.7.0 February 2020 Update allows local users to gain elevated privileges via ENS not checking user permissions when editing configuration in the ENS client interface. Administrators can lock the ENS client interface through ePO to prevent users being able to edit the configuration.

此漏洞的脆弱性 2020-04-15 (Website)所提交。阅读公告的网址是kc.mcafee.com。

该漏洞唯一标识为CVE-2020-7255， CVE分配信息格式：2020-01-21。需要在本地攻击。无技术细节可用。攻击复杂性相当高。漏洞可利用性据称较为困难。该漏洞的知名度低于平均水平，没有可利用漏洞。当前漏洞利用的价值为美元大约是$0-$5k 。根据MITRE ATT&CK，此问题部署的攻击技术是T1068。

它被宣布为未定义。我们估计的零日攻击价值约为$5k-$25k。

补丁名称为10.7.0 February 2020 Update。建议采用一个补丁来修正此问题。该漏洞被披露后，此前未曾发表过可能的缓解措施。