CVE-2016-20094: Sårbarhed i AnyDesk 2.5.0 giver SYSTEM-adgang

CVE-2016-20094 er en fejl i AnyDesk 2.5.0, hvor programmets Windows-tjeneste er registreret med en sti, der ikke er sat i anførselstegn. Når en filsti indeholder mellemrum og ikke er citeret, forsøger Windows selv at gætte, hvilken fil der skal køres, ved at afprøve flere delstier i rækkefølge. En lokal bruger kan udnytte det ved at placere en skadelig fil et af disse steder, så den bliver kørt med systemrettigheder, næste gang tjenesten starter eller computeren genstartes. Fejltypen kaldes CWE-428, unquoted search path.

Det rammer virksomheder, der stadig kører AnyDesk version 2.5.0 på Windows-maskiner, typisk ældre arbejdsstationer eller servere med fjernsupport-adgang, som ikke er blevet opdateret gennem flere år. Sårbarheden findes kun i denne ældre version.

En medarbejder med almindelig brugerkonto, eller skadelig kode der allerede er sluppet ind på maskinen, kan udnytte fejlen til at få fulde systemrettigheder. Det betyder, at angriberen kan installere ransomware, deaktivere sikkerhedssoftware eller læse data, der ellers er beskyttet, uden at have behøvet administratorrettigheder i første omgang.

CVSS-score 7,8, alvorlig. Angrebet kræver lokal adgang til maskinen, altså en konto der allerede kan logge på, men kun med lave rettigheder. Det kræver ingen handling fra en anden bruger, og kompleksiteten er lav. Det er ikke en fjernudnyttelig sårbarhed i sig selv, men kan bruges som andet led i et angreb, hvor angriberen først har fået fodfæste med en almindelig brugerkonto. Der er ikke offentlig dokumentation for aktiv udnyttelse.

Sådan lukker I hullet og begrænser risikoen, mens I opdaterer:

1. Opdatér AnyDesk til den nyeste version, hvor stien til tjenesten er sat i anførselstegn.
2. Hvis en øjeblikkelig opdatering ikke er mulig, kan I manuelt rette servicens sti i Windows-registreringsdatabasen, så den står i anførselstegn.
3. Begræns skriverettigheder for almindelige brugere til rodmapper som C: og overordnede Program Files-mapper.
4. Gennemgå, om der findes uventede eksekverbare filer placeret i rodstier på maskiner med AnyDesk installeret.
5. Kortlæg, hvor mange maskiner i jeres organisation der stadig kører AnyDesk 2.5.0 eller ældre.
6. Kontakt os, hvis I har mange installationer, driftskritiske systemer, eller hvis I finder tegn på, at fejlen allerede er udnyttet.