CVE-2016-20092: Uskiftet tjenestesti i NetDrive
NetDrive 2.6.12 har en uskiftet tjenestesti, der lader lokale brugere opnå SYSTEM-rettigheder. Ret stien eller fjern tjenesten.
Hvad er det?
CVE-2016-20092 er en sårbarhed i tjenesten Netdrive2_Service_Netdrive2, der følger med programmet NetDrive 2.6.12. NetDrive gør det muligt at montere cloud-lagring som et almindeligt netværksdrev i Windows. Fejlen skyldes en uskiftet tjenestesti, hvilket betyder, at Windows ved opstart søger efter et program at køre langs hele stien, fordi mappenavne med mellemrum ikke er sat i anførselstegn. Har en bruger skriveadgang til en af de overordnede mapper i stien, kan personen placere et program med et bestemt navn, som Windows kommer til at køre i stedet for det rigtige. Da tjenesten kører med systemrettigheder, kører det indsatte program også med systemrettigheder.
Hvem rammer det?
Sårbarheden rammer Windows-maskiner, hvor NetDrive 2.6.12 er installeret, typisk servere eller arbejdsstationer, hvor medarbejdere monterer cloud-lagring som netværksdrev. Det er særligt relevant på delte maskiner som terminalservere eller Citrix-miljøer, hvor flere medarbejdere har lokale, lavt rettighedssatte konti på samme maskine.
Hvad kan ske?
En medarbejder eller angriber, der allerede har en almindelig, lavt rettighedssat konto på maskinen, kan placere et skadeligt program i en mappe langs tjenestestien. Ved næste genstart af tjenesten eller maskinen bliver programmet kørt med systemrettigheder, hvorefter angriberen har fuld kontrol over maskinen: kan læse alle filer, installere yderligere skadelig kode og oprette nye administratorkonti.
Hvor alvorligt er det?
CVSS-scoren er 7,8 af 10, alvorlig. Angrebet kræver lokal adgang til maskinen med lave rettigheder, men ingen brugerinteraktion fra andre. Det kan derfor ikke udnyttes over internettet direkte, men det er alvorligt på maskiner med flere brugere. Konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed, fordi angriberen ender med systemrettigheder. Der er ingen kendte tegn på aktiv udnyttelse pr. offentliggørelsesdatoen.
Hvad gør jeg nu?
Sårbarheden lukkes ved at rette selve tjenestestien, ikke ved at vente på en opdatering fra leverandøren.
- Åbn registreringsdatabasen og find tjenesten Netdrive2_Service_Netdrive2 under HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices. Sæt hele stien til programfilen i anførselstegn, så Windows ikke gætter på flere mulige stier.
- Undersøg om der allerede ligger uventede programfiler i mapper langs stien, for eksempel i roden af C-drevet eller i Program Files-mappen. Fjern dem, hvis de ikke skulle være der.
- Begræns skriveadgang til rodmapper og programmapper, så almindelige brugerkonti ikke kan placere filer der.
- Undersøg om NetDrive stadig vedligeholdes, og overvej at skifte til et alternativ eller en nyere version, hvis programmet ikke længere opdateres.
- Kontakt en it-sikkerhedsrådgiver, hvis I har mange maskiner med NetDrive installeret, eller hvis I er i tvivl om, hvordan tjenestestien rettes sikkert.
Ret tjenestestien inden en uge
Vi anbefaler, at I retter tjenestestien manuelt og gennemgår, hvilke brugere der har skriveadgang til systemets rodmapper. Det er en enkel ændring, der lukker hullet helt uden at afvente en opdatering fra leverandøren. Er maskinen kun brugt af en enkelt betroet medarbejder uden delt adgang, kan I vente med at rette det til næste planlagte servicevindue, men på delte maskiner bør det rettes hurtigst muligt.
Tidslinje
Konkrete eksempler
Delt terminalserver i en dansk virksomhed
En mellemstor dansk virksomhed bruger en Windows-terminalserver, hvor flere medarbejdere har hver deres lavt rettighedssatte konto til at logge på og arbejde. NetDrive er installeret, så medarbejderne kan montere cloud-lagring som et drev. En medarbejder med ondsindede hensigter, eller en angriber, der har fået fat i en medarbejderkonto, placerer et program med det rigtige navn i roden af C-drevet. Ved næste genstart af serveren kører programmet med systemrettigheder, og angriberen får fuld kontrol over serveren og alle brugeres data.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I har NetDrive 2.6.12 installeret på en eller flere Windows-maskiner. Tjek installerede programmer og tjenesten Netdrive2_Service_Netdrive2 i tjenesteoversigten i Windows.
Hvordan tjekker vi, om tjenestestien er uskiftet?
Åbn kommandolinjen og kør wmic service get name,pathname, eller kig i registreringsdatabasen under tjenestens nøgle. Står stien til programfilen der uden anførselstegn og med mellemrum i mappenavnet, er den uskiftet.
Kan vi vente til weekenden med at rette det?
På en maskine, kun én person bruger, kan I godt vente til et planlagt servicevindue. På delte maskiner med flere brugerkonti bør det rettes hurtigst muligt, da det tager kort tid at gennemføre.
Kræver det, at vi opdaterer NetDrive til en nyere version?
Ikke nødvendigvis. Selve fejlen rettes ved at sætte tjenestestien i anførselstegn i registreringsdatabasen. En nyere version kan dog have rettet fejlen permanent, hvis leverandøren har udgivet en sådan.
Skal vi anmelde dette til myndighederne?
Der er ingen anmeldepligt for en sårbarhed alene. Har I konstateret, at et uautoriseret program faktisk er kørt med systemrettigheder, og persondata er blevet tilgået, kan det udløse anmeldepligt efter databeskyttelsesreglerne.
Kan sårbarheden udnyttes udefra over internettet?
Nej. Angrebet kræver, at angriberen allerede har en lokal konto med adgang til maskinen. Det er derfor primært en risiko på maskiner med flere brugere, ikke en direkte trussel fra internettet.
CVSS-detaljer
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
NetDrive 2.6.12 contains an unquoted service path vulnerability in the Netdrive2_Service_Netdrive2 service that allows local users to execute arbitrary code with SYSTEM privileges. Attackers can insert malicious executables in the system root path that will be executed during service startup or system reboot, resulting in privilege escalation.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.