CVE-2024-29209

Phish Alert Button (PAB) para Outlook, versões 1.10.0 a 1.10.11

Second Chance Client, versões 2.0.0 a 2.0.9

PIQ Client, versões 1.0.0 a 1.0.15

Foi identificada uma vulnerabilidade de gravidade média no mecanismo de atualização do Phish Alert Button para Outlook, que poderia permitir que um invasor executasse remotamente código arbitrário na máquina host. A vulnerabilidade decorre da falha do aplicativo em verificar com segurança a autenticidade e a integridade do servidor de atualização. O aplicativo verifica periodicamente se há atualizações consultando uma URL específica, mas esse processo não impõe uma verificação SSL/TLS rigorosa, nem valida a assinatura digital dos arquivos de atualização recebidos. Um invasor com capacidade para realizar spoofing de DNS pode explorar essa falha. A exploração bem-sucedida dessa vulnerabilidade permite que um invasor execute código com privilégios elevados, levando potencialmente ao roubo de dados, à instalação de mais malware ou a outras atividades maliciosas no sistema host.

Para o Phish Alert Button (PAB) para Outlook, versões 1.10.0 a 1.10.11, aplique as atualizações mais recentes fornecidas pela KnowBe4, que corrigem essa vulnerabilidade por meio da implementação de verificações SSL/TLS adequadas do servidor de atualização.

Para as versões 2.0.0 a 2.0.9 do Second Chance Client, aplique as atualizações mais recentes fornecidas pela KnowBe4, que corrigem essa vulnerabilidade por meio da implementação de verificações SSL/TLS adequadas do