CVE-2016-20085: Sårbar servicesti i Realtek lyddriver
Realtek lyddriver har en sårbar servicesti, der giver lokale angribere fulde systemrettigheder. Ret stien eller opdatér driveren snarest.
Hvad er det?
CVE-2016-20085 er en sårbarhed i Realtek High Definition Audio Driver version 6.0.1.6730. Fejlen skyldes en såkaldt unquoted service path, altså en sti til programfilen for en Windows-tjeneste, der ikke står i anførselstegn. Når stien indeholder mellemrum og mangler anførselstegn, kan Windows komme til at lede efter programfilen i en forkert mappe. En lokal bruger kan udnytte det ved at placere en ondsindet fil i den forkerte mappe. Genstartes tjenesten, kører filen med systemrettigheder, kaldet LocalSystem, som er det højeste rettighedsniveau i Windows.
Hvem rammer det?
Sårbarheden rammer Windows-computere, hvor Realtek High Definition Audio Driver version 6.0.1.6730 er installeret. Driveren følger med rigtig mange bærbare og stationære computere fra forskellige mærker, uanset om virksomheden selv har valgt Realtek som leverandør. Både kontor-pc’er, laptops og virksomhedsservere med lyd-hardware kan være berørt, hvis den pågældende driverversion er i brug.
Hvad kan ske?
En medarbejder eller en angriber, der allerede har begrænset adgang til en computer, kan placere en skadelig fil i den forkerte mappe og genstarte lydtjenesten. Filen kører derefter med de højeste rettigheder i Windows. I praksis betyder det, at en angriber kan gå fra en almindelig brugerkonto til fuld kontrol over maskinen, installere skadelig software, deaktivere sikkerhedsprogrammer eller skaffe sig adgang til andre systemer på netværket.
Hvor alvorligt er det?
CVSS-scoren er 7,8 ud af 10, hvilket er alvorligt. Angrebet kræver lokal adgang til maskinen, altså at angriberen allerede kan logge på med en brugerkonto, men det kræver kun lave rettigheder og ingen handling fra andre brugere. Konsekvensen er høj på alle tre parametre: fortrolighed, integritet og tilgængelighed bliver fuldt kompromitteret. Der er ikke belæg for, at sårbarheden aktivt bliver udnyttet i angreb, men fremgangsmåden med unquoted service paths er velkendt og enkel at udføre for en angriber med lokal adgang.
Hvad gør jeg nu?
Prioritér følgende, startende med det, der lukker hullet:
- Undersøg om jeres Windows-computere kører Realtek High Definition Audio Driver version 6.0.1.6730. Det kan tjekkes i Enhedshåndtering under lyd-, video- og spilcontrollere.
- Ret servicestien manuelt ved at sætte anførselstegn om stien i registreringsdatabasen for den pågældende tjeneste, eller opdatér til en nyere driverversion, hvor fejlen er rettet.
- Begræns lokale administratorrettigheder til medarbejdere, så færrest muligt kan skrive filer i mapper, der bruges af systemtjenester.
- Overvåg mapper omkring servicestien for uventede eller nyoprettede programfiler.
- Hvis I er usikre på at rette registreringsdatabasen selv, eller I har mange maskiner, der skal rettes ens, bør I hente hjælp udefra til at gennemføre ændringen sikkert.
Ret servicestien inden for 14 dage
Vi anbefaler, at I tjekker driverversionen på jeres Windows-maskiner og retter servicestien eller opdaterer driveren, inden for de næste to uger. Da angrebet kræver lokal adgang, er det ikke akut for maskiner uden delt eller offentlig adgang, men det bør stå på listen over faste sikkerhedsopgaver. Har I mange ens maskiner, giver det mening at rette fejlen centralt frem for enkeltvis.
Tidslinje
Konkrete eksempler
Medarbejder eskalerer egne rettigheder på kontor-pc
En medarbejder i en dansk virksomhed har en almindelig brugerkonto uden administratorrettigheder på sin kontor-pc. Ved at placere en ondsindet fil i den mappe, hvor Realtek-lydtjenesten leder efter sin programfil, og derefter genstarte computeren, opnår medarbejderen fulde systemrettigheder. Herfra kan medarbejderen deaktivere virksomhedens antivirusprogram, installere uautoriseret software eller skaffe sig adgang til data, vedkommende normalt ikke må se.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
Kontrollér i Enhedshåndtering, om jeres computere bruger Realtek High Definition Audio Driver version 6.0.1.6730. Har I mange ens maskiner fra samme indkøb, er det sandsynligt, at driveren er den samme på tværs af dem.
Kan vi vente med at rette det til efter weekenden?
Ja, i de fleste tilfælde. Sårbarheden kræver, at angriberen allerede har lokal adgang til maskinen, så den er ikke lige så akut som fejl, der kan udnyttes over internettet. Vi anbefaler alligevel at rette den inden for de næste to uger.
Skal vi anmelde dette til Datatilsynet eller andre myndigheder?
Nej, ikke medmindre I har konkret mistanke om, at sårbarheden er blevet udnyttet, og at persondata er blevet kompromitteret. Findes der bevis for udnyttelse, skal I vurdere anmeldepligten efter de almindelige regler for databrud.
Hvordan retter vi selve fejlen?
I kan enten opdatere Realtek-driveren til en nyere version, hvor stien er rettet med anførselstegn, eller I kan selv rette stien i registreringsdatabasen under tjenestens indstillinger. Sidstnævnte kræver forsigtighed og bør testes, før det udrulles bredt.
Påvirker det også vores servere?
Kun hvis serverne har lyd-hardware og den pågældende Realtek-driver installeret, hvilket er sjældent på servere. De fleste virksomheder vil primært se sårbarheden på almindelige medarbejder-pc’er og laptops.
CVSS-detaljer
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Realtek High Definition Audio Driver 6.0.1.6730 contains an unquoted service path vulnerability that allows local attackers to escalate privileges by placing a malicious executable in the service path. Attackers can insert an executable file in the unquoted path and restart the service to execute code with LocalSystem privileges.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.