Il 13 agosto 2026 Trend Micro ha pubblicato l'advisory ZDI-26-567 su una vulnerabilità nel servizio NortonUtilitiesSvc di Norton Utilities Ultimate. La falla, identificata come CVE-2024-13962 con punteggio CVSS 7.8, consente a un attaccante locale di scalare privilegi fino a SYSTEM abusando di un link simbolico. La disclosure arriva a distanza di circa 22 mesi dalla segnalazione iniziale al vendor, l'11 ottobre 2024.
- La vulnerabilità CVE-2024-13962 (CVSS 7.8) colpisce il servizio NortonUtilitiesSvc di Norton Utilities Ultimate con impatto LPE a SYSTEM.
- L'attacco sfrutta il link following: un attaccante con accesso locale crea un symlink per manipolare operazioni del servizio eseguite con privilegi massimi.
- Il record CVE-2024-13962 descrive il medesimo meccanismo nel contesto di Avast Cleanup Premium; le fonti ZDI sono coerenti sul prodotto Norton, ma il motivo della discrepanza non è chiarito.
- Nessuna delle fonti esplicita la disponibilità di una patch o di exploit in-the-wild al momento della pubblicazione.
Il meccanismo: come il servizio NortonUtilitiesSvc cede il controllo
Il servizio NortonUtilitiesSvc opera con privilegi SYSTEM ed esegue operazioni sul file system. Secondo l'advisory ZDI, un attaccante con capacità di eseguire codice in contesto low-privileged può creare un symlink che il servizio segue durante le proprie operazioni.
La tecnica appartiene alla famiglia delle race condition TOCTTOU (time-of-check to time-of-use). Il servizio verifica il percorso di un file o directory, ma tra questa verifica e l'uso effettivo l'attaccante sostituisce l'oggetto con un link simbolico puntante a una risorsa sensibile del sistema.
"By creating a symbolic link, an attacker can abuse the service to delete a directory. An attacker can leverage this vulnerability to escalate privileges and execute arbitrary code in the context of SYSTEM" — ZDI Advisory ZDI-26-567
Il vettore CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H conferma la natura locale della minaccia. La bassa complessità dell'attacco, l'assenza di interazione utente e l'impatto elevato su confidenzialità, integrità e disponibilità spiegano la classificazione HIGH (7.8). L'exploitation richiede solo privilegi locali limitati.
Il record CVE e la discrepanza con Avast Cleanup Premium
Un elemento distintivo del dossier emerge dal record CVE-2024-13962 pubblicato su cve.org. Il documento descrive la stessa vulnerabilità con identico meccanismo TOCTTOU/symlink, ma nel contesto di Avast Cleanup Premium e del suo servizio TuneupSvc. Il CVE è unico, il meccanismo è identico, i prodotti appartengono entrambi al portfolio Gen Digital.
Il record CVE-2024-13962 descrive il medesimo meccanismo nel contesto di Avast Cleanup Premium; le fonti ZDI sono coerenti sul prodotto Norton, ma il motivo della discrepanza non è chiarito. Questa sovrapposizione potrebbe indicare una condivisione di codebase tra le linee di prodotto di ottimizzazione Windows del vendor. Tuttavia, la fonte non specifica se il CVE-2024-13962 si applichi a entrambi i prodotti per condivisione effettiva di librerie o per altro motivo. L'ipotesi di una codebase comune rimane una lettura plausibile ma non confermata testualmente dalle fonti disponibili.
Timeline e disclosure coordinata
Il ricercatore ha inviato la vulnerabilità a Trend Micro Zero Day Initiative l'11 ottobre 2024. La disclosure coordinata è avvenuta il 13 agosto 2026. Questo intervallo di circa 22 mesi separa la segnalazione iniziale dalla pubblicazione dei dettagli tecnici.
Nessuna delle fonti disponibili — né l'advisory ZDI né il record CVE — conferma esplicitamente che una patch sia stata rilasciata o che le versioni aggiornate di Norton Utilities Ultimate siano protette. L'advisory ZDI-26-567 non fornisce riferimenti a un pacchetto di aggiornamento specifico.
L'assenza di release notes ufficiali Norton nel dossier impedisce di qualificare lo stato della correzione. Gli utenti non possono verificare autonomamente se la propria installazione è vulnerabile confrontando numeri di versione, poiché le fonti non li forniscono.
Cosa fare adesso
- Verificare la presenza di Norton Utilities Ultimate nei sistemi aziendali e consumer sotto gestione: il prodotto è posizionato nel segmento consumer ma può essere installato su endpoint corporate con licenze personali.
- Monitorare il canale di supporto ufficiale Norton per eventuali comunicazioni sulla disponibilità di aggiornamenti specifici per questa vulnerabilità, dato che lo stato della patch non risulta documentato nelle fonti primarie.
- Applicare il principio del privilegio minimo per gli account utente locali, dato che la vulnerabilità richiede prerequisito di esecuzione codice low-privileged ma non privilegi amministrativi iniziali.
- Valutare la rimozione temporanea del prodotto da endpoint critici fino a conferma di aggiornamento, in assenza di informazioni sulla patch.
- Controllare i log di sistema per attività anomale del servizio NortonUtilitiesSvc, in particolare operazioni di cancellazione directory non richieste dall'utente.
Valutazione del rischio e contesto operativo
La vulnerabilità si colloca in una fascia di rischio significativo per gli ambienti Windows enterprise dove Norton Utilities Ultimate è presente. Il CVSS 7.8 classifica la minaccia come HIGH, ma la natura locale dell'attacco ne limita la superficie rispetto a vulnerabilità remote. Il prerequisito di esecuzione codice low-privileged significa che l'attaccante deve già disporre di un foothold sul sistema.
Questo profilo rende la vulnerabilità particolarmente rilevante in scenari post-compromissione, dove un attaccante con accesso utente standard cerca di elevare privilegi per movimento laterale o persistenza. Il contesto SYSTEM raggiunto conferisce controllo totale sulla macchina, esponendo dati, configurazioni e capacità di interferire con soluzioni di sicurezza.
La finestra di 22 mesi tra segnalazione e disclosure suggerisce un processo di coordinamento prolungato, ma non fornisce indicazioni sullo stato di remediation interno al vendor. L'assenza di exploit confermati in-the-wild non esclude la possibilità di uso mirato in attacchi mirati.
Limiti della verifica e fonti
La verifica si basa sull'advisory ZDI-26-567 come fonte primaria strutturata, corroborata dal record CVE ufficiale. Il record CVE descrive un prodotto diverso (Avast Cleanup Premium) rispetto all'advisory ZDI (Norton Utilities Ultimate); questa discrepanza è documentata ma non spiegata nelle fonti disponibili. Nessuna informazione è disponibile su exploit in-the-wild, patch rilasciate o versioni specifiche affette.
Fonti
- Trend Micro Zero Day Initiative, Advisory ZDI-26-567
- CVE.org, Record CVE-2024-13962
- Norton Support, Norton Utilities Ultimate
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-567/
- https://www.cve.org/CVERecord?id=CVE-2024-13962
- https://support.norton.com/sp/en/us/norton-utilities-ultimate/current/solutions/v20230308160804639
- http://www.zerodayinitiative.com/advisories/published/
- http://www.zerodayinitiative.com/advisories/upcoming/
- https://www.trendmicro.com/