CVE-2016-20090: Sårbarhed i Comodo Dragon Browser
Comodo Dragon Browser har en sårbar opdateringstjeneste, der kan give lokale brugere systemrettigheder. Fjern browseren eller lås mappen ned.
Hvad er det?
CVE-2016-20090 er en sårbarhed i Comodo Dragon Browser op til version 52.15.25.663. Fejlen ligger i opdateringstjenesten DragonUpdater, som kører med systemrettigheder (SYSTEM), men som har en uciteret stitekst i sin filsti. En uciteret stitekst betyder, at Windows leder efter en kørbar fil et sted, mappenavnet indeholder mellemrum, uden at stien er sat i citationstegn. Det gør det muligt for Windows fejlagtigt at forsøge at køre en fil fra en tidligere mappe i stien, hvis en sådan fil findes der. En lokal bruger kan udnytte dette ved at placere en skadelig fil i den rigtige mappe og få den kørt med systemrettigheder, næste gang tjenesten starter eller computeren genstartes.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der har Comodo Dragon Browser installeret på Windows-computere, i version 52.15.25.663 eller ældre. Det gælder både medarbejderes arbejdscomputere og servere, hvor flere brugere har adgang, især hvis medarbejdere har almindelige, begrænsede brugerrettigheder på maskinen.
Hvad kan ske?
En medarbejder eller angriber med almindelig brugeradgang til en computer kan placere en skadelig fil i den rette mappe og derefter få den kørt med systemrettigheder. Det giver fuld kontrol over maskinen: installation af yderligere skadelig kode, læsning af alle filer, ændring af sikkerhedsindstillinger og oprettelse af nye administratorkonti. I en dansk virksomhed kan det bruges som første trin til at sprede sig videre i netværket fra en enkelt medarbejdercomputer.
Hvor alvorligt er det?
CVSS-scoren er 7,8 ud af 10, hvilket er alvorligt. Angrebet kræver lokal adgang til maskinen og allerede eksisterende, lave brugerrettigheder, men ingen brugerinteraktion fra andre og ingen kompleks teknik. Der er ikke oplyst nogen aktiv udnyttelse i naturen, men teknikken med uciterede stitekster er velkendt og let at udføre for en angriber, der først har fået fodfæste på en maskine.
Hvad gør jeg nu?
Der findes ikke en officiel opdatering fra Comodo, der retter fejlen i DragonUpdater-tjenesten. Følg disse skridt:
- Afinstallér Comodo Dragon Browser på alle Windows-maskiner, hvor det er muligt, og udskift den med en browser, der modtager sikkerhedsopdateringer.
- Hvis browseren ikke kan fjernes, ret filrettighederne på installationsmappen, så almindelige brugere ikke kan skrive filer i den mappe, hvor tjenesten leder efter sin kørbare fil.
- Kontrollér, at almindelige medarbejderkonti ikke har lokale administratorrettigheder på maskinerne.
- Gennemgå logfiler for uventede kørsler af ukendte filer omkring genstart af DragonUpdater-tjenesten.
- Opret en oversigt over, hvilke maskiner der har Comodo Dragon installeret, så I kan følge op på afinstallation.
- Kontakt en sikkerhedsrådgiver, hvis I har mange maskiner med browseren, eller hvis I finder tegn på, at sårbarheden allerede er udnyttet.
Fjern browseren inden for en uge
Vi anbefaler, at I afinstallerer Comodo Dragon Browser og skifter til en browser med aktiv sikkerhedssupport, da der ikke findes en officiel rettelse. Det er i orden at vente et par dage, hvis I i mellemtiden låser mappen ned med korrekte filrettigheder og sikrer, at medarbejdere ikke har lokale administratorrettigheder. Vent ikke længere end en uge, hvis browseren stadig er installeret på maskiner med flere brugere.
Tidslinje
Konkrete eksempler
Medarbejder med begrænset adgang skaffer sig systemrettigheder
En medarbejder i en dansk virksomhed har almindelig brugeradgang på sin arbejdscomputer, hvor Comodo Dragon Browser er installeret. Medarbejderen placerer en skadelig fil i en mappe med mellemrum i navnet, som DragonUpdater-tjenesten leder efter. Ved næste genstart kører tjenesten filen med systemrettigheder, og medarbejderen får fuld kontrol over maskinen, herunder mulighed for at installere yderligere skadelig kode og få adgang til andre systemer på netværket.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I har Comodo Dragon Browser installeret i version 52.15.25.663 eller ældre på jeres Windows-maskiner. Tjek programlisten på maskinerne eller jeres it-inventar.
Hvordan finder vi ud af, om vi har den sårbare version?
Gå ind i Windows’ liste over installerede programmer, eller brug jeres it-inventarsystem, og søg efter Comodo Dragon Browser. Se versionsnummeret og sammenlign med 52.15.25.663.
Kan vi vente til weekenden med at gøre noget?
Ja, hvis I i mellemtiden begrænser skriveadgang til installationsmappen og sikrer, at medarbejdere ikke har lokale administratorrettigheder. Er der tale om delte maskiner med mange brugere, bør I handle før weekenden.
Skal vi anmelde dette til nogen myndighed?
Der er ikke en generel anmeldepligt for denne type sårbarhed alene. Har I konstateret, at den er udnyttet og persondata er kompromitteret, skal I vurdere anmeldelse til Datatilsynet efter de almindelige regler for databrud.
Hvad betyder en uciteret stitekst helt konkret?
Det betyder, at Windows-tjenesten peger på en filplacering med mellemrum i mappenavnet, uden at stien er sat i citationstegn. Windows kan derfor fejlagtigt forsøge at køre en fil fra en tidligere del af stien, hvis en sådan fil findes.
Findes der en officiel opdatering, der løser problemet?
Nej, der er ikke oplyst en officiel rettelse fra Comodo. Den mest sikre løsning er at afinstallere browseren og skifte til et alternativ med aktiv sikkerhedssupport.
CVSS-detaljer
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Comodo Dragon Browser versions up to 52.15.25.663 contain a privilege escalation vulnerability in the DragonUpdater service due to an unquoted service path running with SYSTEM privileges. A local attacker can insert a malicious executable in the service path and execute arbitrary code with elevated privileges upon service restart or system reboot.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.