Falhas do tipo CWE-379

66 resultados

Criação de arquivo temporário em diretório com permissões inseguras

A aplicação cria arquivos temporários em um diretório onde outros usuários do sistema podem ler, modificar ou deletar esses arquivos. Um atacante local pode interceptar dados sensíveis (como chaves criptográficas ou tokens) armazenados nesses temporários, ou substituir o conteúdo antes da aplicação usá-lo, levando a execução de código malicioso ou vazamento de informação.

Exemplo

Um servidor cria um arquivo `/tmp/cache_token_12345` com permissões 644 (legível para todos) para armazenar tokens de autenticação. Um usuário não-privilegiado lê esse arquivo e rouba a credencial. Ou substitui o conteúdo por um payload malicioso que será processado depois pela aplicação.

Como mitigar

Use APIs seguras que criam temporários com permissões restritas (modo 0600) automaticamente, como `tempfile.NamedTemporaryFile()` em Python ou `mktemp -d` com umask correto em shell. Se precisar usar `/tmp`, valide explicitamente o dono e permissões do arquivo antes de qualquer operação, e prefira locais dentro da home do usuário ou diretórios dedicados com controle de acesso.

CVE-2023-6080HIGHPrivilege Escalation to SYSTEM in Lakeside Software InstallerEPSS 0.2%CVE-2022-23163MEDIUMDell PowerScale OneFS, 8.2,x, 9.1.0.x, 9.2.1.x, and 9.3.0.x contain a denial of service vulnerability. A local malicious user could potentiaEPSS 0.2%CVE-2025-33111MEDIUMIBM Controller Information DisclosureEPSS 0.2%CVE-2025-32802MEDIUMInsecure handling of file paths allows multiple local attacksEPSS 0.2%CVE-2023-32450MEDIUM Dell Power Manager, Versions 3.3 to 3.14 contains an Improper Access Control vulnerability. A low-privileged malicious user may potentiallyEPSS 0.2%CVE-2023-40438MEDIUMAn issue was addressed with improved handling of temporary files. This issue is fixed in macOS Sonoma 14, iOS 16.7 and iPadOS 16.7. An app mEPSS 0.2%CVE-2024-9500HIGHAutodesk ADP Desktop SDK Privilege Escalation VulnerabilityEPSS 0.2%CVE-2025-32438HIGHLocal privilege escalation in make-initrd-ngEPSS 0.2%CVE-2025-64896MEDIUMCreative Cloud Desktop | Creation of Temporary File in Directory with Incorrect Permissions (CWE-379)EPSS 0.2%CVE-2024-24693HIGHZoom Rooms Client for Windows - Improper Access ControlEPSS 0.2%CVE-2023-3181HIGHInsecure Permissions in Splashtop Software UpdaterEPSS 0.2%CVE-2023-37243HIGHThe C:\Windows\Temp\Agent.Package.Availability\Agent.Package.Availability.exe file is automatically launched as SYSTEM when the system rebooEPSS 0.2%CVE-2026-54328HIGHPi: Predictable temporary extension install paths allow local privilege escalation on shared Linux hostsEPSS 0.2%CVE-2025-71176MEDIUMpytest through 9.0.2 on UNIX relies on directories with the /tmp/pytest-of-{user} name pattern, which allows local users to cause a denial oEPSS 0.2%CVE-2023-38533MEDIUMA vulnerability has been identified in TIA Administrator (All versions < V3 SP2). The affected component creates temporary download files inEPSS 0.1%CVE-2024-7562HIGHA potential elevated privilege issue has been reported with InstallShield built Standalone MSI setups having multiple InstallScript custom aEPSS 0.1%CVE-2026-14551HIGHLocal Privilege Escalation in servereye client (sensorhub)EPSS 0.1%CVE-2026-7539HIGHHP Dock Accessory WMI Provider Installer Security UpdateEPSS 0.1%CVE-2026-46388MEDIUMosquery: Unprivileged users can temporarily read file carve contentsEPSS 0.1%CVE-2026-85028HIGHCreation of Temporary File in Directory with Insecure Permissions in AWS FPGA Development KitEPSS 0.1%