CVE-2026-107612

Nome do Software Vulnerável e Versões Afetadas GlavSoft TightVNC Server for Windows versões anteriores a 2.8.88

Description Uma atribuição incorreta de permissões permite que um usuário local autenticado leia ou sobrescreva os handles de comunicação inter-processos (IPC) usados entre o serviço TightVNC e seu processo de servidor de desktop. O segmento de memória compartilhada nomeado no namespace Global, que transporta os valores de HANDLE do pipe, é criado com um NULL DACL (Lista de Controle de Acesso Discricionário), o que significa que carece de restrições de acesso. Além disso, o nome do segmento é derivado de um valor srand(time(0)) baseado no tempo, tornando-o previsível com granularidade de um segundo. Um processo local de baixo privilégio pode abrir esse mapeamento e adulterar o canal IPC de um serviço executado como SYSTEM, levando potencialmente à divulgação de dados de sessão, escalonamento de privilégios ou negação de serviço.

Recommendations Atualize o GlavSoft TightVNC Server for Windows para a versão 2.8.88 ou posterior.