Vulnérabilité dans TeamViewer Windows Desktop Application

Une vulnérabilité a été découverte dans TeamViewer, un logiciel propriétaire de télémaintenance disposant de fonctions de bureau à distance, de téléadministration, de conférence en ligne et de transfert de fichiers. Un attaquant distant exploitant cette vulnérabilité peut exécuter des injections d’arguments arbitraires.

CVE 2020-13699 [Score CVSS v3 : en cours de calcul] : Un attaquant pourrait lancer TeamViewer avec des arguments arbitraires via une URL spécialement conçue (les arguments y étant contenus seraient alors interprétés par le logiciel). Par cette action, le logiciel pourrait alors effectuer des actions à l'insu de l'utilisateur. Cela pourrait ensuite permettre l’ouverture inattendue d'un partage SMB qui effectuerait un échange d'authentification NTLM, pouvant être capturé pour un craquage ultérieur.

Informations
+

Risques

  • Injection d’arguments arbitraires

  • Obtention d’informations sensibles 

Criticité

  • Score CVSS v3 : en cours de calcul

Existence d’un code d’exploitation

  • Aucun code d’exploitation n’est disponible publiquement

Composants vulnérables

  • Toutes les versions TeamViewer Windows Desktop Application comprises entre  8.0.258861, 9.0.258860, 10.0.258873, 11.0.258870, 12.0.258869, 13.2.36220, 14.2.56676, 14.7.48350, et 15.8.3.

CVE

  • CVE-2020-13699

Recommandations
+

Mise en place de correctifs de sécurité

  • Appliquer les mises à jour de sécurité proposées par TeamViewer

Solution de contournement

  • Aucune solution de contournement n’est disponible