CVE-2016-20088: Fejl i Comodo Chromodo Browsers opdatering
Comodo Chromodo Browser har en sårbarhed i opdateringstjenesten, der kan give lokale angribere fulde systemrettigheder. Fjern browseren eller ret tjenestestien.
Hvad er det?
CVE-2016-20088 er en sårbarhed i opdateringstjenesten ChromodoUpdater, som er en del af Comodo Chromodo Browser version 52.15.25.664. Fejlen er en så kaldt unquoted service path, hvilket betyder, at stien til programfilen ikke står i anførselstegn i systemets tjenesteregister. Windows leder derfor efter programmet i flere mapper på rækkefølge, og en angriber kan placere en ondsindet fil et af de steder, Windows tjekker først. Tjenesten kører med SYSTEM-rettigheder, det højeste rettighedsniveau i Windows, så den ondsindede fil bliver kørt med fuld kontrol over maskinen, næste gang tjenesten starter eller computeren genstartes.
Hvem rammer det?
Det rammer virksomheder, der har installeret Comodo Chromodo Browser version 52.15.25.664 på Windows-computere. Browseren blev tidligere distribueret som en del af flere Comodo-produkter, herunder sikkerhedspakker, og kan derfor være til stede uden at være bevidst installeret af medarbejdere. Alle computere med tjenesten ChromodoUpdater kørende er potentielt sårbare, uanset om browseren bruges aktivt.
Hvad kan ske?
En medarbejder eller en angriber, der allerede har almindelig brugeradgang til en computer, kan placere en ondsindet fil i en af de mapper, Windows søger igennem før den rigtige programfil. Ved næste genstart eller tjenestestart kører filen automatisk med systemrettigheder. Angriberen kan dermed oprette nye administratorkonti, deaktivere sikkerhedssoftware, installere ransomware med fuld adgang eller sprede sig videre i netværket fra den kompromitterede maskine.
Hvor alvorligt er det?
CVSS-scoren er 7,8 ud af 10, alvorlig. Angrebet kræver lokal adgang til maskinen, altså at angriberen allerede kan logge på med et almindeligt brugerkonto, men det kræver ikke administratorrettigheder og ingen handling fra en anden bruger. Konsekvensen er høj på alle tre parametre: fortrolighed, integritet og tilgængelighed, fordi angriberen ender med fuld systemkontrol. Der er ikke oplysninger om aktiv udnyttelse i praksis, men sårbarhedstypen er velkendt og relativt let at udnytte for en angriber med grundlæggende teknisk indsigt.
Hvad gør jeg nu?
Sårbarheden lukkes enten ved at fjerne den sårbare software eller ved at rette stien manuelt. Følg punkterne i rækkefølge:
- Undersøg om Comodo Chromodo Browser version 52.15.25.664 er installeret på jeres Windows-maskiner, og afinstallér den, hvis den ikke bruges aktivt.
- Hvis browseren skal beholdes, ret tjenestestien for ChromodoUpdater manuelt i registreringsdatabasen ved at sætte anførselstegn omkring den fulde filsti, så Windows ikke søger i forkerte mapper.
- Begræns hvilke brugere der har skriverettigheder til systemmapper som Program Files, så en ondsindet fil ikke kan placeres der uden administratoradgang.
- Overvej at erstatte Comodo Chromodo Browser med en aktivt vedligeholdt browser, da produktet ikke længere modtager opdateringer.
- Gennemgå logfiler for uventede tjenestegenstarter eller nye lokale administratorkonti på maskiner, hvor browseren har været installeret.
- Kontakt en sikkerhedsrådgiver, hvis I ikke har ressourcer til selv at gennemgå registreringsdatabasen og tjenestekonfigurationen på alle berørte maskiner.
Ret stien eller afinstallér inden for en uge
Vi anbefaler, at I afinstallerer Comodo Chromodo Browser, hvis den ikke er nødvendig, da produktet ikke længere vedligeholdes aktivt. Skal browseren blive på maskinerne, bør I rette tjenestestien manuelt i registreringsdatabasen snarest. Det er i orden at vente til næste planlagte vedligeholdelsesvindue, hvis I i mellemtiden begrænser almindelige brugeres skriverettigheder til systemmapperne.
Tidslinje
Konkrete eksempler
Kompromitteret medarbejdercomputer i dansk revisionsfirma
En medarbejder i et mindre revisionsfirma har Comodo Chromodo Browser installeret som del af en ældre sikkerhedspakke. En anden medarbejder med almindelige brugerrettigheder placerer, bevidst eller ved et hændeligt uheld gennem malware, en fil i en delt programmappe. Ved næste genstart kører filen med systemrettigheder, og angriberen får fuld adgang til computeren og de netværksdrev, den er forbundet til.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I har Comodo Chromodo Browser version 52.15.25.664 installeret på jeres Windows-computere. Tjek installerede programmer og tjenester, især ChromodoUpdater, via Windows Tjenester eller PowerShell.
Hvordan tjekker vi, om en tjenestesti er unquoted?
Åbn Tjenester i Windows, find ChromodoUpdater, og se stien til programfilen under Egenskaber. Står stien uden anførselstegn og indeholder mellemrum, er den sårbar over for denne type angreb.
Kan vi vente til weekenden med at rette det?
Ja, hvis I i mellemtiden sikrer, at almindelige brugere ikke har skriverettigheder til de mapper, Windows søger i før programfilen. Er computeren delt med mange brugere eller gæster, bør I rette det hurtigere.
Skal vi anmelde denne sårbarhed nogen steder?
Nej, der er ikke krav om anmeldelse, medmindre sårbarheden faktisk er blevet udnyttet og har medført et sikkerhedsbrud med persondata involveret. I så fald gælder de almindelige regler om anmeldelse til Datatilsynet.
Er der en opdateret version af Comodo Chromodo Browser uden fejlen?
Vi har ikke oplysninger om en officiel rettelse fra Comodo. Da browseren ikke længere udvikles aktivt, anbefaler vi at erstatte den med en vedligeholdt browser i stedet for at vente på en opdatering.
Kræver angrebet, at nogen klikker på noget?
Nej, angrebet kræver ingen brugerhandling ud over, at angriberen allerede har lokal adgang til maskinen med et almindeligt brugerkonto. Selve udnyttelsen sker automatisk, når tjenesten genstarter.
CVSS-detaljer
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Comodo Chromodo Browser 52.15.25.664 contains an unquoted service path vulnerability in the ChromodoUpdater service that runs with SYSTEM privileges. A local attacker can insert a malicious executable in the service path and execute arbitrary code with elevated privileges upon service restart or system reboot.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.