Zwei lokale Sicherheitslücken wurden in Sunshine für Windows entdeckt, die Version v2025.122.141614 und möglicherweise frühere Versionen betreffen. Diese Schwachstellen könnten es Angreifern ermöglichen, beliebigen Code auszuführen und erhöhte Privilegien auf kompromittierten Systemen zu erlangen. Sunshine ist ein selbst gehosteter Game-Streaming-Host für Moonlight. Die erste Schwachstelle, CVE-2025-10198, ist ein Problem mit einem ungeschützten Dienstpfad. Dies ermöglicht es einem lokalen Angreifer, eine bösartige ausführbare Datei in einem Verzeichnis innerhalb des Dienstpfads zu platzieren. Wenn der Dienst startet, würde er den bösartigen Code mit erhöhten Privilegien ausführen. Die zweite Schwachstelle, CVE-2025-10199, ist ein DLL-Suchreihenfolge-Hijacking-Fehler. Dies bedeutet, dass ein Angreifer eine bösartige DLL in einem vom Benutzer beschreibbaren Verzeichnis innerhalb der PATH-Umgebungsvariablen platzieren kann. Die Anwendung könnte dann diese bösartige DLL laden, was zur Ausführung von beliebigem Code führt. CVE-2025-10198 ermöglicht eine Privilegienerweiterung auf SYSTEM, was eine vollständige Kompromittierung des Rechners ermöglicht. CVE-2025-10199 ermöglicht die Ausführung von bösartigem Code im Kontext des Benutzers. Benutzer sollten ein Update vom Sunshine-Projekt anwenden, sobald es verfügbar ist. Bis dahin können Benutzer diese Probleme entschärfen, indem sie sicherstellen, dass sich keine vom Benutzer beschreibbaren Verzeichnisse im PATH befinden. Sie sollten auch alle Dienstpfade in Windows-Dienstkonfigurationen in Anführungszeichen setzen. Schließlich kann die Einschränkung der Berechtigungen für dienstbezogene Verzeichnisse die unbefugte Platzierung von Dateien verhindern.