TotalAV: Lokale Rechteausweitung zu SYSTEM durch fälschbares IPC-Token
Zusammenfassung
TotalAV bis Version 7.1.17 enthält eine lokale Rechteausweitung. Ein lokaler Benutzer ohne Administratorrechte kann das gRPC-IPC-Authentifizierungstoken fälschen, da es aus einem statischen Geheimnis abgeleitet wird, das in der DLL des Produkts hinterlegt ist. Anschliessend kann er den SYSTEM-Dienst missbrauchen, um beliebigen Code als NT AUTHORITY\SYSTEM auszuführen. Ein öffentlicher Proof of Concept existiert, und für den Angriff genügt ein bestehendes lokales Konto auf dem Gerät.
Betroffen
- TotalSecurity TotalAV, Versionen 0 bis 7.1.17 (Angaben der CNA; der Versionsbereich des Herstellers ist nicht bestätigt)
- Möglicherweise auch ältere Versionen, da eine Spiegelung des CVE-Eintrags "any version affected" angibt
Behoben in
Unbekannt. Es wurde keine Sicherheitsmitteilung des Herstellers und keine korrigierte Version gefunden.
Umgehung
- Lokale Anmeldung auf vertrauenswürdige Benutzer beschränken und Benutzer mit Standardkonten betreiben.
- Gemeldete Option (vom Hersteller nicht verifiziert): AppLocker oder Software Restriction Policies einsetzen, damit lokale Benutzer die IPC.dll nicht aus dem TotalAV-Verzeichnis laden können. Vor dem Rollout testen.
- Das Installationsverzeichnis von TotalAV auf unerwartete Dateien oder Änderungen überwachen.
Ausnutzung
- Öffentlicher Proof of Concept auf GitHub verfügbar (CISA SSVC: Exploitation "poc").
- Nicht im CISA-KEV-Katalog aufgeführt; keine Berichte über Ausnutzung in freier Wildbahn gefunden.
- Automatisierbar: nein (CISA SSVC). EPSS 0.00212.
Unsere Empfehlung
- Alle TotalAV-Installationen jetzt inventarisieren, insbesondere auf geteilten, unverwalteten oder Mehrbenutzergeräten, und diese mit hoher Priorität behandeln.
- Beim TotalAV-Support eine korrigierte Version und eine Sicherheitsmitteilung anfordern; keine Version als gepatcht annehmen.
- Bis eine Korrektur bestätigt ist, die oben genannten Einschränkungen anwenden oder TotalAV entfernen und die Geräte auf Anzeichen von Rechteausweitung überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE-2026-110746 PoC repository (TotalAV-7.1.17-LPE) github.com
- TotalAV vendor website www.totalav.com
- VulDB entry 420657 vuldb.com
- Strix AI CVE record CVE-2026-110746 www.strix.ai
- OpenCVE CVE-2026-110746 app.opencve.io
- Vulnrichment CVE-2026-110746 (SSVC, EPSS) vulners.com
- threatint CVE-2026-110746 cve.threatint.com
- Positive Technologies PT-2026-114946 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.