CVE-2016-20093: Sårbarhed i Wise Care 365
Wise Care 365 4.27 og Wise Disk Cleaner 9.29 har en sårbar servicesti, der lader lokale brugere få fulde systemrettigheder.
Hvad er det?
CVE-2016-20093 er en sårbarhed i programmerne Wise Care 365 version 4.27 og Wise Disk Cleaner version 9.29. Fejlen kaldes en unquoted service path, en programmeringsfejl hvor stien til en systemtjenestes program ikke er sat i citationstegn. Windows kan derfor blive narret til at starte et andet program, hvis det ligger et bestemt sted på disken, i stedet for den rigtige tjeneste. Fejlen findes i tjenesterne WiseBootAssistant og SpyHunter 4 Service, som begge kører med de højeste rettigheder på systemet, kaldet SYSTEM-rettigheder.
Hvem rammer det?
Sårbarheden rammer virksomheder, der har installeret Wise Care 365 version 4.27 eller Wise Disk Cleaner version 9.29 på Windows-computere. Det er typisk programmer, medarbejdere selv har installeret for at rydde op i systemet eller forbedre ydelsen, ofte uden at it-afdelingen ved det. Alle Windows-versioner, hvor programmerne kører som tjenester, er berørt.
Hvad kan ske?
En medarbejder eller en angriber, der allerede har almindelig brugeradgang til en computer, kan placere en skadelig fil et sted i stien til den sårbare tjeneste. Når computeren genstartes, eller tjenesten starter, kører filen automatisk med SYSTEM-rettigheder. Angriberen får dermed fuld kontrol over maskinen, kan installere yderligere skadelig kode, læse alle filer og deaktivere sikkerhedsprogrammer.
Hvor alvorligt er det?
CVSS-scoren er 7,8 ud af 10, hvilket er alvorligt. Angrebet kræver, at man allerede har lokal adgang til computeren med almindelige brugerrettigheder, men kræver ingen handling fra andre brugere og ingen særlig teknisk kompleksitet. Der er ikke offentligt bekræftet aktiv udnyttelse af denne konkrete sårbarhed, men metoden med unquoted service paths er velkendt og bruges ofte, når en angriber allerede har fået fodfæste på et system og vil eskalere til fulde rettigheder.
Hvad gør jeg nu?
I bør handle på tværs af it-drift, ikke kun på enkelte maskiner, da fejlen ligger i selve programinstallationen.
- Undersøg om Wise Care 365 version 4.27 eller Wise Disk Cleaner version 9.29 er installeret på jeres computere, og opdatér til en nyere version, hvis leverandøren har rettet fejlen.
- Kan I ikke opdatere, så ret servicestien manuelt i registreringsdatabasen, så den sættes i citationstegn, eller afinstallér programmet, hvis det ikke er nødvendigt.
- Begræns hvem der har lokal administratoradgang til computere, så færre brugere kan udnytte fejlen.
- Gennemgå jeres computere for andre programmer med samme type fejl, da unquoted service paths er en almindelig svaghed i tredjepartssoftware.
- Overvåg logs for uventede genstarter af tjenester eller uforklarlige nye programmer i systemmapper.
- Kontakt en sikkerhedsrådgiver, hvis I har mange maskiner med tredjepartsværktøjer, og ikke selv har overblik over, hvilke tjenester der kører med SYSTEM-rettigheder.
Ret servicestien før næste genstart
Vi anbefaler, at I fjerner eller opdaterer Wise Care 365 og Wise Disk Cleaner på alle computere, hvor de er installeret, og at I generelt undgår tredjepartsværktøjer, der ikke er godkendt af it-afdelingen. Det er i orden at vente med at rette servicestien manuelt, hvis programmet allerede er afinstalleret eller opdateret til en version uden fejlen. Har I ikke overblik over, hvilke maskiner der har programmerne installeret, bør I lave en scanning af jeres computerpark, før I går videre.
Tidslinje
Konkrete eksempler
Delt medarbejdercomputer på lager
En dansk logistikvirksomhed har installeret Wise Disk Cleaner på en fælles computer i lagerhallen, som flere medarbejdere bruger med almindelige brugerkonti. En medarbejder placerer en skadelig fil i systemstien og genstarter maskinen. Filen kører automatisk med SYSTEM-rettigheder og giver medarbejderen adgang til hele netværket, herunder lønsystemer, som computeren har forbindelse til.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis en eller flere af jeres Windows-computere har Wise Care 365 version 4.27 eller Wise Disk Cleaner version 9.29 installeret. Tjek programlisten i Windows eller jeres it-inventarsystem for at se, om programmerne findes.
Hvordan tjekker vi, om servicestien er sårbar?
I kan åbne en kommandoprompt og køre kommandoen sc qc WiseBootAssistant eller sc qc SpyHunter4Service for at se stien til programmet. Står stien ikke i citationstegn og indeholder mellemrum, er tjenesten sårbar.
Kan vi vente til weekenden med at rette det?
Ja, da angrebet kræver lokal adgang til maskinen og ikke kan udføres udefra internettet. Vi anbefaler dog, at I retter fejlen inden for få dage, især på maskiner, hvor flere medarbejdere deler login eller har begrænset overvågning.
Skal vi anmelde dette til myndighederne?
Der er ingen anmeldelsespligt alene for at have en sårbar version installeret. Fører sårbarheden til et faktisk misbrug med tab af persondata, skal I vurdere anmeldelse til Datatilsynet efter de almindelige regler.
Kan sårbarheden udnyttes udefra internettet?
Nej, angrebet kræver lokal adgang til computeren med et eksisterende brugerlogin. Det er derfor primært en risiko ved delte maskiner, kompromitterede brugerkonti eller angribere, der allerede har fået fodfæste på et system.
CVSS-detaljer
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Wise Care 365 4.27 and Wise Disk Cleaner 9.29 contain unquoted service path vulnerabilities in the WiseBootAssistant and SpyHunter 4 Service respectively, allowing local users to execute arbitrary code with SYSTEM privileges. Attackers can insert malicious executables in the system root path that execute during service startup or system reboot with elevated privileges.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.