FICHE CVE

CVE-2020-15397

Publiée le 2020-06-30 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

HylaFAX+ (jusqu'à la version 7.0.2) et HylaFAX Enterprise sont concernés car certains scripts exécutent des binaires situés dans des répertoires où des utilisateurs disposant de privilèges restreints peuvent écrire. Un attaquant possédant déjà un compte local sur le serveur peut remplacer ces binaires par son propre code malveillant pour obtenir les privilèges root complets. Il s'agit d'un exploit simple qui nécessite un accès local, mais aucune interaction supplémentaire de la part de l'utilisateur.

CVSS 3.17.8 ÉLEVÉE

Type de faiblesse

Attribution de permission incorrecte · CWE-732

Publiée2020-06-30

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

HylaFAX+ through 7.0.2 and HylaFAX Enterprise have scripts that execute binaries from directories writable by unprivileged users (e.g., locations under /var/spool/hylafax that are writable by the uucp account). This allows these users to execute code in the context of the user calling these binaries (often root).