CVE-2016-20091: Sårbar servicesti i Windows Firewall Control
Windows Firewall Control 4.8.6.0 har en sårbar servicesti, der lader lokale angribere opnå fulde systemrettigheder. Ret stien eller opgradér.
Hvad er det?
Windows Firewall Control 4.8.6.0 indeholder en fejl kaldet unquoted service path (CVE-2016-20091). Det betyder, at programmets tjeneste wfcs.exe er registreret i Windows med en filsti, der ikke er sat i citationstegn. Når stien indeholder mellemrum uden citationstegn, kan Windows fejltolke stien og i stedet forsøge at køre en anden, kortere fil, hvis den findes i den overordnede mappe. En angriber, der allerede har adgang til maskinen med lave rettigheder, kan placere en skadelig eksekverbar fil et sted i stien, hvor Windows leder efter den. Når tjenesten genstartes, eller maskinen genstartes, kører Windows den skadelige fil med LocalSystem-rettigheder, som er de højeste rettigheder på en Windows-maskine.
Hvem rammer det?
Sårbarheden rammer virksomheder, der har installeret Windows Firewall Control 4.8.6.0 fra BiniSoft på Windows-arbejdsstationer eller -servere. Programmet er en tredjeparts brugerflade til Windows-firewallen og bruges typisk af it-afdelinger, der vil have mere kontrol over firewallregler end den indbyggede grænseflade giver.
Hvad kan ske?
Hvis en angriber allerede har fået fodfæste på en maskine, for eksempel via en medarbejders almindelige brugerkonto, kan angriberen udnytte fejlen til at hæve sine rettigheder til systemniveau. Herfra kan angriberen læse og ændre alt på maskinen, installere yderligere skadelig software, deaktivere sikkerhedsprogrammer og bevæge sig videre til andre systemer på netværket. I praksis går angrebet fra et begrænset indbrud til fuld kontrol over maskinen.
Hvor alvorligt er det?
CVSS-scoren er 7,8 ud af 10, hvilket er alvorligt. Angrebet kræver lokal adgang til maskinen, altså at angriberen allerede er logget på med en gyldig konto, men kun med lave rettigheder. Der kræves ingen handling fra en bruger, og angrebet er teknisk enkelt at udføre, når man har adgang. Sårbarheden er ikke i sig selv en fjernadgangssårbarhed, men den er et effektivt næste skridt for en angriber, der allerede er inde i netværket. Der er ikke oplysninger om aktiv udnyttelse i praksis.
Hvad gør jeg nu?
Sårbarheden kan lukkes uden at vente på en officiel opdatering fra leverandøren.
- Sæt filstien til wfcs.exe-tjenesten i citationstegn i Windows-registreringsdatabasen, eller begræns skriverettigheder til mapperne i stien, så almindelige brugere ikke kan placere filer der.
- Undersøg om der findes en nyere version af Windows Firewall Control, og opgradér hvis muligt.
- Gennemgå hvilke brugere der har lokal adgang til maskiner med programmet installeret, og begræns adgangen til det nødvendige.
- Kontrollér logfiler for uventede genstarter af tjenesten eller ukendte eksekverbare filer i programmets mapper.
- Overvej at fjerne programmet, hvis det ikke længere er nødvendigt, da leverandøren tilsyneladende ikke længere udvikler aktivt på det.
- Hvis I ikke selv kan verificere eller rette stien i registreringsdatabasen, bør I hente hjælp fra en it-sikkerhedsrådgiver.
Ret stien inden for en uge
Vi anbefaler, at I retter servicestien for wfcs.exe med det samme, da det er en simpel ændring, der lukker hullet uden at kræve en ny softwareversion. Det er i orden at vente et par dage, hvis maskinerne kun bruges af betroede medarbejdere uden ekstern netværksadgang, men vi vil ikke lade det stå åbent i mere end en uge, da lokal adgang ofte opnås gennem andre, mindre alvorlige angreb først.
Tidslinje
Konkrete eksempler
Medarbejderkonto bliver springbræt til systemrettigheder
En medarbejder i en dansk produktionsvirksomhed klikker på en vedhæftet fil i en phishing-mail og får en almindelig brugerkonto kompromitteret. Angriberen opdager, at maskinen kører Windows Firewall Control 4.8.6.0, og placerer en skadelig fil i den usikrede servicesti. Ved næste genstart af maskinen kører filen med LocalSystem-rettigheder, og angriberen har nu fuld kontrol over maskinen og kan sprede sig videre i netværket.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I har Windows Firewall Control 4.8.6.0 installeret på jeres Windows-maskiner. Tjek Kontrolpanel eller programlisten på maskinerne for at se, om programmet og versionen findes.
Hvordan tjekker vi, om servicestien er sårbar?
Åbn registreringsdatabasen og find nøglen for wfcs.exe-tjenesten under tjenester. Hvis stien til filen indeholder mellemrum og ikke er sat i citationstegn, er maskinen sårbar.
Kan vi vente til weekenden med at rette det?
Ja, hvis maskinen kun tilgås af betroede medarbejdere og ikke er eksponeret mod internettet. Vi anbefaler dog ikke at lade det stå længere end en uge, da lokal adgang kan opnås på andre måder end direkte netværksangreb.
Kræver det en genstart at rette fejlen?
Nej, I kan rette registreringsdatabasen uden genstart, men tjenesten skal genstartes, eller maskinen skal genstartes, for at ændringen træder i kraft fuldt ud.
Skal vi anmelde dette som et sikkerhedsbrud?
Nej, en sårbarhed er ikke i sig selv et brud. I skal kun anmelde til Datatilsynet, hvis I har konkret bevis på, at sårbarheden er blevet udnyttet, og at persondata er blevet kompromitteret.
Findes der en opdateret version af programmet?
Det afhænger af, om leverandøren BiniSoft fortsat udvikler produktet. I bør kontrollere leverandørens hjemmeside for en nyere version, men hvis programmet ikke længere opdateres, er rettelsen af servicestien den mest sikre løsning.
CVSS-detaljer
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Windows Firewall Control 4.8.6.0 contains an unquoted service path vulnerability that allows local attackers to escalate privileges by inserting malicious executables in the service path. Attackers can place executable files in unquoted path directories that the wfcs.exe service will execute with LocalSystem privileges upon service restart or system reboot.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.