CVE-2016-20086: Uskoteret sti i Vembu StoreGrid 4.0

Sårbarheden findes i backupprogrammet Vembu StoreGrid version 4.0 og skyldes det, der kaldes en uskoteret sti til en tjeneste (CWE-428). Windows-tjenesterne RemoteBackup og RemoteBackup_webServer starter et program fra en filsti, der ikke er sat i anførselstegn. Indeholder stien mellemrum, kan Windows fejlagtigt forsøge at køre et andet program, som en angriber har lagt i en af mellemmapperne. Placerer en lokal bruger en ondsindet fil det rigtige sted og genstarter tjenesten, eller genstartes serveren, kører filen med de rettigheder, tjenesten har, i dette tilfælde det højeste niveau i Windows, kaldet LocalSystem.

Det rammer virksomheder og kommuner, der kører Vembu StoreGrid 4.0 som backupløsning på en Windows-server. Sårbarheden kræver, at angriberen allerede har en lokal konto på maskinen, for eksempel en medarbejder, en konsulent eller en angriber, der har fået fodfæste via en anden sårbarhed. Der er ikke oplyst nyere versioner med rettelse, så alle installationer af version 4.0 må antages berørt.

En bruger med begrænsede rettigheder kan hæve sig selv til fuld systemkontrol over backupserveren. Herfra kan angriberen læse og ændre alle backupdata, slette dem, installere skadelig kode eller bruge serveren som springbræt videre ind i netværket. Da backup ofte er den sidste sikkerhedsnet mod ransomware, er det særligt alvorligt, hvis selve backupsystemet kan overtages.

CVSS-score er 7,8 af 10, alvorlig. Angrebet kræver lokal adgang til maskinen og et lavt privilegieniveau, men ingen interaktion fra en anden bruger, og det er ikke teknisk kompliceret at udføre. Konsekvensen er høj på alle tre parametre: fortrolighed, integritet og tilgængelighed, fordi angriberen ender med fuld systemkontrol. Sårbarheden kan ikke udnyttes direkte fra internettet, men er farlig i miljøer, hvor flere personer eller systemer har lokal adgang til backupserveren.

Vembu StoreGrid 4.0 er en ældre version, og der er ikke oplyst en officiel opdatering. Følgende trin lukker eller reducerer risikoen:

1. Åbn Windows Registreringsdatabase og find nøglerne for tjenesterne RemoteBackup og RemoteBackup_webServer under HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices. Sæt anførselstegn omkring hele stien i feltet ImagePath, så Windows ikke kan fejltolke mellemrum i stien.
2. Gennemgå, hvem der har lokal adgang til serveren, og fjern unødvendige konti eller rettigheder. Jo færre lokale brugere, jo mindre risiko.
3. Kontrollér skriverettigheder på de mapper, tjenesterne ligger i, og på overliggende mapper, så almindelige brugere ikke kan lægge filer der.
4. Undersøg om Vembu StoreGrid stadig understøttes af leverandøren, og planlæg udskiftning til en nyere, understøttet backupløsning, hvis det ikke er tilfældet.
5. Overvåg servicelog og systemhændelser for uventede genstarter af de nævnte tjenester.
6. Er I i tvivl om, hvordan I retter registreringsdatabasen sikkert, eller om jeres version er ramt, så få en it-sikkerhedsrådgiver til at gennemgå backupmiljøet.