CVE-2016-20095: Sårbarhed i Matrix42 Remote Control Host

CVE-2016-20095 er en sårbarhed i Matrix42 Remote Control Host version 3.20.0031, et program til fjernsupport og fjernstyring af pc’er. Fejlen sidder i to services, FastViewerRemoteService og FastViewerRemoteProxy, hvor stien til den eksekverbare fil ikke er omsluttet af citationstegn. Det kaldes en uskrevet sti (unquoted service path): Windows leder derfor efter programmet i flere mapper, blandt andet direkte i C:Program Files, før den finder den rigtige fil. En lokal bruger kan placere en skadelig fil med et bevidst valgt navn i en af de mapper, Windows søger i undervejs. Når servicen starter, typisk ved genstart af maskinen, kører Windows den skadelige fil i stedet, og den får de samme rettigheder som servicen: SYSTEM, det højeste rettighedsniveau i Windows.

Sårbarheden rammer virksomheder, der har installeret Matrix42 Remote Control Host version 3.20.0031, typisk som led i en IT-supportløsning eller helpdesk-værktøj. Det er servicerne FastViewerRemoteService og FastViewerRemoteProxy på Windows-maskiner, der er sårbare. Alle pc’er og servere med denne version af programmet installeret bør betragtes som ramt, uanset om de bruges af IT-afdelingen eller af almindelige medarbejdere, som modtager fjernsupport.

En medarbejder med almindelig, begrænset brugerkonto eller skadelig kode, der allerede har fået fodfæste på maskinen, kan udnytte fejlen til at hæve sine rettigheder til SYSTEM. Det giver fuld kontrol over maskinen: adgang til alle filer, mulighed for at installere yderligere skadelig kode, deaktivere sikkerhedsprogrammer og bevæge sig videre til andre systemer i netværket. I praksis kan en enkelt kompromitteret medarbejderkonto eller en inficeret pc dermed blive springbræt til et større angreb.

CVSS-scoren er 7,8 ud af 10, alvorlig. Angrebet kræver lokal adgang til maskinen (angriberen skal allerede have en konto eller adgang til systemet), og lave rettigheder er nok til at udnytte fejlen. Der kræves ingen handling fra en anden bruger, og konsekvensen er fuld skade på fortrolighed, integritet og tilgængelighed, fordi angriberen ender med SYSTEM-rettigheder. Fejlen kan ikke udnyttes direkte over internettet, men den er en oplagt eskaleringsvej, når en angriber først er inde på et netværk eller en maskine, for eksempel via phishing eller en anden sårbarhed.

Sådan lukker I hullet, og hvad I gør bagefter:

1. Sæt citationstegn om servicens sti manuelt. Kør sc qc FastViewerRemoteService og sc qc FastViewerRemoteProxy for at se den aktuelle sti, og ret den til at stå i citationstegn med sc config, så Windows ikke leder i forkerte mapper.
2. Undersøg om Matrix42 har udgivet en nyere version af Remote Control Host, hvor stien er rettet, og opgradér til den, hvis den findes.
3. Gennemgå og begræns, hvilke lokale brugere der har skriverettigheder til rodmapper som C: og til Program Files-mapperne, så en almindelig bruger ikke kan placere filer der.
4. Kortlæg, hvilke maskiner i jeres organisation der kører den sårbare version, så I ved, hvor rettelsen skal udføres.
5. Overvåg lokale administratorkonti og nye SYSTEM-processer på de berørte maskiner i en periode efter rettelsen.
6. Få hjælp udefra, hvis I ikke selv kan verificere eller rette serviceopsætningen, eller hvis I er i tvivl om, hvilke maskiner der er ramt.