CVE-2016-20087: Uciteret sti i Fortitude HTTP
Fortitude HTTP 1.0.4.0 har en uciteret servicesti, som lader lokale brugere opnå systemrettigheder. Ret stien i registreringsdatabasen.
Hvad er det?
Fortitude HTTP (CVE-2016-20087) er en webserver til Windows, hvor version 1.0.4.0 installerer sin tjeneste med en filsti, der ikke er sat i anførselstegn. Windows fortolker en sti med mellemrum forkert og forsøger at køre den første mappe med mellemrum som et selvstændigt program. En lokal bruger med skriverettigheder til en af disse mapper kan placere en skadelig fil dér, som Windows starter med systemrettigheder, næste gang tjenesten går i gang eller maskinen genstartes. Fejltypen kaldes en uciteret servicesti og er en velkendt og gentagen svaghed i Windows-tjenester, kategoriseret som CWE-428.
Hvem rammer det?
Sårbarheden rammer virksomheder, der kører Fortitude HTTP version 1.0.4.0 som Windows-tjeneste på servere eller arbejdsstationer. Det drejer sig typisk om mindre organisationer, der bruger softwaren til intern webhosting eller test. Alle installationer, hvor tjenestens filsti indeholder mellemrum og ikke er omgivet af anførselstegn i registreringsdatabasen, er potentielt sårbare.
Hvad kan ske?
En medarbejder eller en angriber, der allerede har et almindeligt brugerlogin på maskinen, kan placere en skadelig fil i en af de mapper, Windows leder igennem, før den finder den rigtige tjenestefil. Ved næste genstart eller tjenestestart kører filen automatisk med systemrettigheder, den højeste rettighed på en Windows-maskine. Dermed kan angriberen få fuld kontrol over serveren, installere yderligere skadelig software eller bruge maskinen som springbræt videre ind i netværket.
Hvor alvorligt er det?
CVSS-scoren er 7,8 ud af 10, hvilket er alvorligt. Angrebet kræver lokal adgang til maskinen og et lavt rettighedsniveau, men ingen interaktion fra en bruger og ingen særlig teknisk kompleksitet. Der er ikke oplyst aktiv udnyttelse af sårbarheden, men fejltypen er velkendt og let at udnytte, når en angriber først har fået fodfæste på systemet. Fortrolighed, integritet og tilgængelighed rammes alle i fuldt omfang, hvis angrebet lykkes.
Hvad gør jeg nu?
Der findes ikke en officiel opdatering fra leverandøren, men fejlen kan rettes manuelt med det samme.
- Find tjenestens sti i registreringsdatabasen under HKLMSYSTEMCurrentControlSetServices og sæt anførselstegn omkring hele stien til programfilen.
- Gennemgå andre installerede tjenester på samme maskine for tilsvarende uciterede stier, da fejlen ofte optræder flere steder på samme system.
- Begræns, hvem der har skriverettigheder til mapper som C:Program Files og undermapper, så almindelige brugere ikke kan placere filer dér.
- Overvej på sigt at udskifte Fortitude HTTP med en aktivt vedligeholdt webserver, da produktet ikke ser ud til at modtage sikkerhedsopdateringer.
- Log og overvåg oprettelse af nye filer i systemstier samt genstart af tjenester, så I opdager forsøg på misbrug.
- Få hjælp udefra, hvis I har flere berørte servere, eller hvis I er i tvivl om, hvordan rettighederne skal sættes korrekt.
Ret servicestien inden næste genstart
Vi anbefaler, at I retter den uciterede sti manuelt i registreringsdatabasen med det samme, da det er en simpel ændring uden driftspåvirkning. Det er i orden at vente med at udskifte selve softwaren, hvis maskinen er isoleret, og kun få betroede medarbejdere har lokal adgang. Har I mange servere med Fortitude HTTP eller lignende ældre software, anbefaler vi en bredere gennemgang af alle Windows-tjenester for samme type fejl.
Tidslinje
Konkrete eksempler
Testserver hos en dansk IT-afdeling
En mindre dansk virksomhed bruger Fortitude HTTP til at hoste et internt testmiljø. En studentermedhjælper med et almindeligt brugerlogin opdager, at tjenestens sti ikke er beskyttet, og placerer en fil i en delt mappe med mellemrum i navnet. Ved næste genstart af serveren kører filen automatisk med systemrettigheder, og medhjælperen får adgang til hele testmiljøet, herunder adgangskoder gemt lokalt.
Ofte stillede spørgsmål
Er vores virksomhed ramt?
I er ramt, hvis I kører Fortitude HTTP version 1.0.4.0 som en Windows-tjeneste. Tjek listen over installerede tjenester på jeres servere og arbejdsstationer for at afgøre, om softwaren er i brug.
Hvordan tjekker vi, om servicestien er sårbar?
Kør kommandoen sc qc [tjenestenavn] i en kommandoprompt eller åbn tjenesten i registreringsdatabasen. Hvis stien til den eksekverbare fil indeholder mellemrum og ikke er omgivet af anførselstegn, er tjenesten sårbar.
Kan vi vente til weekenden med at rette det?
Ja, hvis maskinen er isoleret og kun har få betroede brugere med lokal adgang. Har flere personer adgang til maskinen, eller kører den delte tjenester, bør I rette stien samme dag, da det er en hurtig ændring.
Skal vi anmelde hændelsen til myndighederne?
Kun hvis I finder tegn på, at sårbarheden faktisk er blevet udnyttet, og der er sket et sikkerhedsbrud. Selve tilstedeværelsen af den uciterede sti udløser ikke i sig selv en anmeldelsespligt.
Er der en officiel opdatering på vej fra leverandøren?
Der er ikke oplyst nogen officiel opdatering fra leverandøren af Fortitude HTTP. Rettelsen skal derfor foretages manuelt i registreringsdatabasen, eller I bør overveje at skifte til en anden webserver.
Kræver angrebet adgang udefra internettet?
Nej, sårbarheden kræver lokal adgang til maskinen. En angriber skal allerede have et brugerlogin, enten som medarbejder, gæst eller via et andet indbrud, før denne fejl kan udnyttes til at opnå systemrettigheder.
CVSS-detaljer
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Fortitude HTTP 1.0.4.0 contains an unquoted service path vulnerability that allows local users to execute arbitrary code with elevated privileges by exploiting the service binary path. Attackers can insert malicious executables in the system root path that execute with SYSTEM privileges during service startup or system reboot.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.