CVE-2016-20089: Uanførselstegnet sti i Iperius Remote

CVE-2016-20089 er en sårbarhed i Iperius Remote 1.7.0, et program til fjernstyring og fjernsupport af computere. Fejlen skyldes en uanførselstegnet servicesti: den Windows-tjeneste, der starter programmet, henter filstien uden citationstegn. Indeholder stien mellemrum, for eksempel i standardmappen Program Files, forsøger Windows at afvikle flere mulige programnavne, dannet ved at dele stien op ved hvert mellemrum. En bruger med skriveadgang til en af disse delstier kan placere en skadelig fil, som Windows kører i stedet for det rigtige program, med de rettigheder tjenesten kører under, typisk SYSTEM. Angrebet kræver kun lokal adgang til maskinen, ikke fjernadgang, og kræver ingen handling fra en anden bruger.

Sårbarheden rammer virksomheder, der har installeret Iperius Remote version 1.7.0 på Windows-computere eller -servere, særligt hvor programmet ligger i en mappe med mellemrum i stien, som standardmappen Program Files. Det gælder både interne it-afdelinger, der bruger programmet til fjernsupport af medarbejdere, og virksomheder, der lader eksterne leverandører fjernstyre deres systemer via Iperius Remote.

En bruger eller et skadeligt program, der allerede har begrænset adgang til maskinen, kan udnytte fejlen til at opnå fulde systemrettigheder, SYSTEM. Herfra kan angriberen installere yderligere skadelig software, slette logfiler, oprette nye administratorkonti eller bruge maskinen som springbræt videre ind i netværket. For en dansk virksomhed betyder det, at en i øvrigt begrænset kompromittering, for eksempel via en medarbejders konto eller en inficeret USB-nøgle, kan udvikle sig til fuld kontrol over en server eller klient.

CVSS-scoren er 7,8 af 10, alvorlig. Angrebsvektoren er lokal, det kræver ikke fjernadgang, men angriberen skal allerede have et login med lave rettigheder på maskinen. Der kræves ingen handling fra en anden bruger. Konsekvensen er høj på alle tre parametre, fortrolighed, integritet og tilgængelighed, fordi angriberen ender med fulde SYSTEM-rettigheder. Der er ingen oplysninger om aktiv udnyttelse i angreb, men teknikken bag uanførselstegnede servicestier er velkendt og let at afprøve med offentligt tilgængelige værktøjer.

Sådan lukker I hullet og begrænser risikoen, mens I venter på en opdatering.

1. Opdatér Iperius Remote til en nyere version, hvor servicestien er sat i anførselstegn.
2. Kan I ikke opdatere med det samme, så ret servicens sti manuelt i registreringsdatabasen ved at omslutte den med anførselstegn.
3. Begræns, hvilke lokale brugere der har skriveadgang til rodmapperne i installationsstien, for eksempel C: og C:Program Files.
4. Gennemgå, hvilke medarbejdere og eksterne leverandører der har lokal adgang til maskiner med Iperius Remote installeret.
5. Kontakt Auroa, hvis I ikke selv kan verificere eller rette servicestien på jeres systemer.