一、 漏洞 CVE-2024-49360 基础信息
漏洞标题
Sandboxie中的路径穿越漏洞
来源：AIGC 神龙大模型
漏洞描述信息
Sandboxie 是一款针对32位和64位Windows NT操作系统的基于沙箱的隔离软件。一个经过身份验证但无权限的用户 (**UserA**) 被授权读取属于其他用户（如 `UserB`）在沙箱文件夹 `C:\Sandbox\UserB\xxx` 中创建的所有文件。认证攻击者可以在任何沙箱之外使用 `explorer.exe` 或 `cmd.exe` 读取 `C:\Sandbox\xxx` 中其他用户（如 `UserB`）的文件。默认情况下，在 Windows 7 及更高版本中，`C:\Users\UserA` 文件夹不可被 **UserB** 访问。 在沙箱处理期间编辑或创建的所有文件都会受到该漏洞的影响。位于 `C:\Users` 下的所有文件都是安全的。如果 `UserB` 在沙箱中运行一个 cmd，他将能够访问 `C:\Sandbox\UserA`。此外，如果 **UserB** 创建一个具有恶意访问控制列表（ACL）的文件夹 `C:\Sandbox\UserA`，当 **UserA** 使用沙箱时，Sandboxie 不会重置这些 ACL！此问题尚未修复。建议用户限制使用 Sandboxie 访问其系统。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
来源：AIGC 神龙大模型
漏洞类别
对路径名的限制不恰当(路径遍历)
来源：AIGC 神龙大模型
漏洞标题
Path traversal in Sandboxie
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Sandboxie is a sandbox-based isolation software for 32-bit and 64-bit Windows NT-based operating systems. An authenticated user (**UserA**) with no privileges is authorized to read all files created in sandbox belonging to other users in the sandbox folders `C:\Sandbox\UserB\xxx`. An authenticated attacker who can use `explorer.exe` or `cmd.exe` outside any sandbox can read other users' files in `C:\Sandbox\xxx`. By default in Windows 7+, the `C:\Users\UserA` folder is not readable by **UserB**. All files edited or created during the sandbox processing are affected by the vulnerability. All files in C:\Users are safe. If `UserB` runs a cmd in a sandbox, he will be able to access `C:\Sandox\UserA`. In addition, if **UserB** create a folder `C:\Sandbox\UserA` with malicious ACLs, when **UserA** will user the sandbox, Sandboxie doesn't reset ACLs ! This issue has not yet been fixed. Users are advised to limit access to their systems using Sandboxie.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:L
来源：美国国家漏洞数据库 NVD
漏洞类别
对路径名的限制不恰当(路径遍历)
来源：美国国家漏洞数据库 NVD
漏洞标题
Sandboxie 路径遍历漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Sandboxie是sandboxie-plus开源的一款基于沙盒的隔离软件。 Sandboxie存在路径遍历漏洞，该漏洞源于经过身份验证且没有权限的用户有权读取沙盒文件夹C:SandboxUserBxxx中属于其他用户在沙盒中创建的所有文件。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
路径遍历
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2024-49360 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2024-49360 的情报信息