CVE-2020-37126: Estouro de pilha no campo de fusos horários do Free Desktop Clock 3.0
A CVE-2020-37126 é um estouro de pilha baseado em buffer no Free Desktop Clock 3.0, acionado pelo campo de nome de exibição de fusos horários. Segundo o registro, uma entrada Unicode elaborada pode sobrescrever registradores do Structured Exception Handler e, potencialmente, permitir execução de código arbitrário. O registro informa pontuação CVSS 3.1 de 9,8 (crítica), ausência de listagem no CISA KEV e nenhuma versão afetada ou corrigida informada.
Visão geral
O Free Desktop Clock 3.0 é afetado por um estouro de pilha baseado em buffer na entrada de nome de exibição de fusos horários, conforme descrito no registro. O problema está relacionado a uma entrada Unicode elaborada que pode sobrescrever registradores do Structured Exception Handler.
Impacto
- O vetor CVSS 3.1 informado pela VulnCheck é AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, com pontuação base de 9,8 (crítica).
- A pontuação CVSS 4.0 informada pelo mesmo provedor é 8,4.
- Segundo a descrição, uma exploração bem-sucedida poderia, potencialmente, levar à execução de código arbitrário.
Produtos e versões afetadas
- A descrição cita o Free Desktop Clock 3.0. A lista de itens afetados do registro está vazia, portanto a faixa completa de versões afetadas é desconhecida.
- Nenhuma versão corrigida consta no registro. Isso não significa que não exista correção.
Status de exploração
- O registro indica que esta CVE não consta no catálogo CISA KEV, por isso não é possível confirmar exploração ativa com base nesses dados.
- Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
Remediação e mitigação
- Identifique todos os sistemas com Free Desktop Clock instalado e verifique as versões em uso junto às informações do fabricante.
- Quando houver alternativa mantida, considere remover ou descontinuar a aplicação, já que o registro não informa versão corrigida.
- Restrinja a execução da aplicação por meio de listas de permissão de aplicativos e execute-a com privilégios mínimos.
- Limite a exposição a entradas não confiáveis, incluindo textos de fuso horário ou de localidade fornecidos externamente.
Orientações de detecção
- Monitore falhas inesperadas e eventos de violação de acesso no processo do Free Desktop Clock.
- Revise os registros de endpoints em busca de processos filhos incomuns ou atividades inesperadas iniciadas pela aplicação.
Limitações das informações disponíveis
- O registro não traz lista de versões afetadas, versão corrigida nem dados de EPSS.
- O fabricante não está formalmente confirmado no registro. O domínio drive-software.com citado sugere o site do fornecedor.
- O registro lista uma entrada no Exploit-DB. Seu conteúdo não foi utilizado nesta análise.
Perguntas frequentes
A CVE-2020-37126 está sendo explorada ativamente?
O registro indica que esta CVE não consta no catálogo CISA KEV, e nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
Quais versões do Free Desktop Clock são afetadas?
A descrição cita a versão 3.0, mas a lista de itens afetados do registro está vazia, portanto a faixa completa de versões afetadas é desconhecida.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.