AVG: privilege escalation nel Data Shredder con CVSS 7.3

Il 28 ottobre 2026 TrendAI Zero Day Initiative ha reso pubblica l'advisory ZDI-26-832, che documenta una vulnerabilità nel servizio avgToolsSvc di AVG Internet Security. Il flaw, identificato come CVE-2026-6064, consente privilege escalation da locale a SYSTEM attraverso l'abuso di symbolic link durante operazioni di cancellazione. Il punteggio CVSS è 7.3 HIGH, secondo il record ufficiale CVE.

Il meccanismo del flaw: quando il servizio SYSTEM segue il link sbagliato

Il servizio avgToolsSvc gira con privilegi SYSTEM su Windows. Secondo l'advisory ZDI, il servizio non valida correttamente la risoluzione dei link simbolici prima di eseguire la cancellazione delle cartelle.

Un attaccante con accesso locale e privilegi limitati crea un symbolic link in una posizione controllata. Quando il servizio avgToolsSvc tenta di cancellare il contenuto attraverso il Data Shredder, segue il link e opera su file o directory che l'attaccante non potrebbe raggiungere con i propri permessi. Questa tecnica è classificata come CWE-59: Improper Link Resolution Before File Access.

L'advisory ZDI descrive la conseguenza: l'attaccante può "escalate privileges and execute arbitrary code in the context of SYSTEM". Una volta creato il symbolic link appropriato, il servizio stesso compie l'operazione con i suoi privilegi massimi.

Il perimetro della vulnerabilità: AVG e i marchi menzionati nel record CVE

Il titolo dell'advisory ZDI-26-832 si concentra su "AVG Internet Security avgToolsSvc Link Following Local Privilege Escalation Vulnerability". Il record CVE ufficiale estende il perimetro: il titolo CVE è "Norton, Avast, and AVG local privilege escalation via link following in Data Shredder", e il testo specifica che la vulnerabilità interessa "Norton Antivirus, Avast Antivirus, and AVG Internet Security prior to 26.5.10933 on Windows".

L'advisory ZDI non menziona Norton e Avast nel corpo testuale, limitandosi ad AVG. Il record CVE indica che il Data Shredder è il componente comune vulnerabile, ma non chiarisce se i tre prodotti utilizzino esattamente lo stesso codice binario o varianti del medesimo flaw. La fonte non specifica la relazione tecnica tra i prodotti.

"This vulnerability allows local attackers to escalate privileges on affected installations of AVG Internet Security. An attacker must first obtain the ability to execute low-privileged code on the target system in order to exploit this vulnerability." — TrendAI Zero Day Initiative, Advisory ZDI-26-832

La timeline e il punteggio CVSS

La segnalazione iniziale al vendor è datata 9 aprile 2026. Il rilascio coordinato è avvenuto il 28 ottobre 2026. Il record CVE assegna alla vulnerabilità il punteggio di 7.3 HIGH, con vector string CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H.

Il vector indica attacco locale (AV:L), complessità bassa (AC:L), privilegi ridotti richiesti (PR:L), interazione utente richiesta (UI:R). L'impatto è massimo per riservatezza, integrità e disponibilità (C:H/I:H/A:H), ma il servizio non viene attraversato (S:U). La componente UI:R — interazione utente richiesta — indica che l'exploit non è completamente automatico; la fonte non specifica la natura esatta di questa interazione.

L'advisory ZDI non esplicita il punteggio CVSS nel testo; il dato proviene esclusivamente dal record CVE ufficiale.

Cosa fare adesso

La versione correttiva è identificata nel record CVE: AVG Internet Security 26.5.10933 o successiva su Windows. Per i sistemi che utilizzano Norton Antivirus o Avast Antivirus, il record CVE indica che anche questi prodotti rientrano nel perimetro di vulnerabilità attraverso il componente Data Shredder; l'advisory ZDI non fornisce identificativi di patch separati per questi marchi.

La fonte non specifica se il fix sia distribuito tramite aggiornamento automatico o richieda intervento manuale. Non è documentato se TrendAI abbia rilasciato filtri di protezione per i propri clienti prima del disclosure coordinato.

Analisi: il paradosso strutturale

La seguente sezione è lettura editoriale basata sui fatti noti, non su fonti verificate aggiuntive.

Un tool di sicurezza diventa veicolo di attacco: questa è la tensione narrativa dei fatti documentati. Il Data Shredder, componente per la cancellazione dei dati, opera con privilegi SYSTEM per funzionare. Questo stesso livello di privilegio, combinato con una validazione insufficiente dei link simbolici, crea la superficie di attacco.

Il caso illustra un pattern ricorrente nell'ingegneria del software di sicurezza: i componenti che richiedono accesso profondo al sistema per svolgere la loro funzione legittima espongono conseguentemente rischi maggiori se la validazione degli input è incompleta. Il servizio avgToolsSvc non è vulnerabile per un difetto crittografico o per un protocollo di rete difettoso, ma per un controllo mancante su un'operazione file system elementare: la risoluzione del percorso prima della cancellazione.

Chiusura

La vulnerabilità CVE-2026-6064 è un caso di privilege escalation locale con impatto elevato, reso possibile da un'interazione non validata tra servizio SYSTEM e file system. La sua gravità risiede nella semplicità del meccanismo — un symbolic link — e nella potenza del contesto di esecuzione compromesso. La patch è disponibile; la finestra di esposizione, documentata nella timeline di sei mesi, si è chiusa con il rilascio coordinato del 28 ottobre 2026.

Fonti

• zerodayinitiative.com
• cve.org