Aviso de segurança da Netskope

NSKPSA-2024-004

Netskope Client instalador com link simbólico após a vulnerabilidade que leva ao aumento de privilégios

ID do comunicado de segurança: NSKPSA-2024-004
Classificação de gravidade: média
Comunicado pela primeira vez: 15 de abril de 2025
Pontuação geral do CVSS: 5,2
Versão: 1,0
CVE-ID: CVE-2024-13177

Description
Netskope Client no Mac OS é afetado por uma vulnerabilidade na qual o script de pós-instalação não valida corretamente o caminho do arquivo "nsinstallation". Um usuário padrão poderia potencialmente criar um link simbólico do arquivo “nsinstallation” para aumentar os privilégios de um arquivo diferente no sistema.

Affected Product(s) and Version(s)
Nome do produto: Netskope Client
Plataforma afetada: MacOS
Versões afetadas: Todas as versões abaixo de R123

CVE-ID(s)
CVE-2024-13177
CVSS:4,0/A V:L/AC:H/AT:N/PR:L/UI:N/VC:N/VI:N/V A:N/SC:H/SI:H/SA:H (5.2)

Remediation
A Netskope lançou um patch de segurança para esse problema. Por favor, veja abaixo

Versões de patch: R123 e superior
Versões retroportadas de patch: versões EHF 117.1.11.2310 e 120.1.10.2306

Instruções de download do Netskope - Download Netskope Client and Scripts - Suporte Netskope

Solução alternativa
Não há soluções alternativas disponíveis no momento.

General Security Best Practices
A Netskope recomenda usar as opções de reforço de segurança disponíveis no produto e configurá-las para reforçar a segurança - https://docs.netskope.com/en/secure-tenant-configuration-and-hardening/

Special Notes and Acknowledgement
A Netskope dá crédito a Max Keasley, da WithSecure Consulting, por ter relatado essa falha.

Exploitation and Public Disclosures
A Netskope não tem conhecimento de nenhuma exploração ativa do problema de segurança.

Revision History

Versão	Data	Section	Notes
1.0	15 de abril de 2025		Lançamento inicial

Contrato
Na medida máxima permitida pela lei aplicável, as informações fornecidas neste aviso são fornecidas “no estado em que se encontram”, sem qualquer tipo de garantia. O uso das informações contidas neste aviso ou dos materiais aqui vinculados é por sua conta e risco. Este aviso e todos os aspectos da Política de Resposta a Incidentes de Segurança de Produtos da Netskope estão sujeitos a alterações sem aviso prévio. A resposta não é garantida para nenhum problema específico ou classe de problemas. Seus direitos em relação a garantias, suporte e manutenção, incluindo vulnerabilidades em qualquer software ou serviço da Netskope, são regidos exclusivamente pelo contrato principal aplicável entre a Netskope e o senhor. As declarações contidas neste aviso não modificam, ampliam ou alteram nenhum dos seus direitos sob o contrato principal aplicável, nem criam garantias ou compromissos adicionais.

Sobre a Netskope
A Netskope, líder em SASE, conecta usuários com segurança e rapidez diretamente à Internet, a qualquer aplicativo e à sua infraestrutura, a partir de qualquer dispositivo, dentro ou fora da rede. Com CASB, SWG e ZTNA construídos nativamente em uma única plataforma, o Netskope Security Cloud fornece o contexto mais granular, por meio de tecnologia patenteada, para permitir acesso condicional e conscientização do usuário, ao mesmo tempo que aplica princípios de confiança zero na proteção de dados e prevenção de ameaças em todos os lugares. Ao contrário de outros que forçam compensações entre segurança e rede, a nuvem privada de segurança global da Netskope oferece recursos completos de computação na borda.

A Netskope é rápida em todos os lugares, centrada nos dados e muito bem preparada para a nuvem, proporcionando também uma boa cidadania digital e um menor custo total de propriedade.