CVE-2016-20095: Matrix42 Remote Control Host sårbarhed
Sårbarhed i Matrix42 Remote Control Host lader lokale brugere overtage Windows-systemer med fulde administratorrettigheder.
Hvad er det?
CVE-2016-20095 er en sårbarhed af typen ‘unquoted service path’ (et fejlkonfigureret Windows-serviceopslag) i Matrix42 Remote Control Host version 3.20.0031. De to berørte Windows-tjenester — FastViewerRemoteService og FastViewerRemoteProxy — er installeret med en sti der ikke er sat i anførselstegn. Det betyder, at Windows kan blive narret til at køre et andet program end det tiltænkte, når tjenesterne starter op. En angriber kan udnytte dette til at placere en ondsindet fil på systemet, der automatisk køres med de højeste systemrettigheder (SYSTEM-niveau).
Hvem rammer det?
Sårbarheden rammer virksomheder der bruger Matrix42 Remote Control Host 3.20.0031 til fjernadgang og remote support på Windows-maskiner. Det kan eksempelvis være IT-afdelinger, servicedesks eller managed service providers (MSP’er) der administrerer arbejdsstationer på tværs af en organisation. Angriberen skal have en lokal brugerkonto på den pågældende maskine — det kan være en medarbejder, en konsulent med adgang, eller en angriber der allerede har fået fodfæste på systemet.
Hvad kan ske?
Hvis sårbarheden udnyttes, kan en angriber med en almindelig brugerkonto eskalere sine rettigheder til SYSTEM — det vil sige den højeste mulige adgang på en Windows-computer. Det svarer til at give nøglerne til hele maskinen. Angriberen kan herefter:
- Installere malware eller ransomware der kører med fulde rettigheder
- Læse, ændre eller slette alle filer på computeren
- Oprette skjulte bagdøre til fremtidig adgang
- Sprede sig videre til andre systemer på virksomhedens netværk
- Omgå sikkerhedssoftware og logningsværktøjer
Hvor alvorligt er det?
Sårbarheden er vurderet til 7.8 ud af 10 (Alvorlig) af det internationale CVSS-scoringssystem. Den kræver kun en lokal brugerkonto og ingen særlig teknisk ekspertise at udnytte, og angrebet kan ske uden at brugeren opdager noget. Den fulde CIA-triade (fortrolighed, integritet og tilgængelighed) er i høj risiko — det betyder, at data kan stjæles, ændres og systemer kan gøres utilgængelige. Det er særligt bekymrende i miljøer med delte computere, fjernarbejdere eller eksterne konsulenter med lokal adgang.
Hvad gør jeg nu?
Følg disse trin for at beskytte din virksomhed hurtigst muligt:
- Identificér berørte systemer: Tjek om Matrix42 Remote Control Host version 3.20.0031 er installeret på nogen af dine Windows-computere. Spørg din IT-leverandør hvis du er usikker.
- Opdatér softwaren: Kontakt Matrix42 eller din IT-partner og få installeret en opdateret version der retter fejlen. Tjek Matrix42’s officielle hjemmeside for tilgængelige opdateringer.
- Begræns lokal adgang: Sørg for at kun nødvendige brugere har lokal adgang til de berørte maskiner, indtil opdateringen er på plads.
- Overvåg tjenester og opstartsprocesser: Bed din IT-afdeling om at kontrollere om der er placeret ukendte filer i Program Files-mappen på berørte maskiner.
- Dokumentér og rapportér: Hvis du mistænker at sårbarheden allerede er udnyttet, skal du kontakte din IT-sikkerhedskonsulent og overveje anmeldelse til Datatilsynet hvis persondata kan være kompromitteret.
Opdatér inden for 14 dage
Auroa anbefaler at du prioriterer opdatering af Matrix42 Remote Control Host på alle berørte Windows-maskiner hurtigst muligt. Unquoted service path-sårbarheder er velkendte og relativt enkle at udnytte for en person med lokal adgang — det er ikke en teoretisk risiko. Sørg samtidig for at gennemgå hvem der har lokal adgang til de berørte systemer, og overvej om adgangen kan begrænses midlertidigt. Har du brug for hjælp til at identificere og afhjælpe sårbarheden i din IT-infrastruktur, er du velkommen til at kontakte os.
Tidslinje
Konkrete eksempler
Medarbejder eskalerer rettigheder
En utilfreds medarbejder med en almindelig Windows-brugerkonto opdager at Matrix42 Remote Control Host er installeret på sin arbejdscomputer. Ved hjælp af et frit tilgængeligt sikkerhedsværktøj finder medarbejderen den sårbare service path og placerer et ondsindet program i Program Files-mappen med et navn der udnytter fejlkonfigurationen. Næste gang computeren genstartes, kører tjenesten det ondsindede program med SYSTEM-rettigheder, og medarbejderen har nu fuld kontrol over maskinen uden at IT-afdelingen opdager det.
Angriber med eksisterende fodfæste spreder sig i netværket
En angriber har via phishing opnået adgang til en medarbejders brugerkonto og kan logge ind på en arbejdsstation via fjernadgang. Kontoen har kun begrænsede rettigheder, men angriberen bemærker at Matrix42 Remote Control Host er installeret. Ved at udnytte unquoted service path-sårbarheden placerer angriberen en bagdør i Program Files-mappen. Ved næste genstart køres bagdøren med SYSTEM-rettigheder, og angriberen kan nu bevæge sig frit rundt i virksomhedens netværk og tilgå kritiske systemer og data.
Ekstern konsulent misbruger midlertidig adgang
En ekstern IT-konsulent får midlertidig lokal adgang til en server for at udføre vedligeholdelsesopgaver. Konsulenten opdager at Matrix42 Remote Control Host 3.20.0031 er installeret og udnytter sårbarheden til at oprette en skjult administratorkonto på serveren. Selv efter at den midlertidige adgang er fjernet, har konsulenten stadig fuld adgang til serveren via bagdøren — noget virksomheden ikke opdager før en sikkerhedsgennemgang måneder senere.
Ofte stillede spørgsmål
Hvad er en 'unquoted service path'-sårbarhed?
Når Windows starter en tjeneste (et baggrundssprogram), skal det finde den rigtige programfil. Hvis stien til programmet indeholder mellemrum og ikke er sat i anførselstegn, kan Windows misforstå stien og i stedet køre en anden fil. En angriber kan udnytte dette ved at placere en ondsindet fil det sted, Windows leder fejlagtigt. Det er en klassisk, men stadig hyppigt forekommende fejl i Windows-software.
Skal angriberen have fysisk adgang til computeren?
Nej, ikke nødvendigvis. Angriberen skal blot have en lokal brugerkonto på den berørte Windows-maskine — det kan ske via fjernadgang, VPN eller en eksisterende bruger på systemet. Fysisk tilstedeværelse er ikke et krav, men angriberen kan ikke udnytte sårbarheden udelukkende over internettet uden en eksisterende konto på maskinen.
Kan mit antivirusprogram opdage og stoppe angrebet?
Ikke nødvendigvis. Angrebet involverer at placere en fil i en mappe og vente på at systemet selv kører den ved opstart. Hvis den ondsindede fil er tilstrækkeligt tilpasset, kan den undgå signaturbaseret antivirusdetektion. Det er derfor vigtigt ikke udelukkende at stole på antivirussoftware, men at få patchet (opdateret) den sårbare software hurtigst muligt.
Er vi i fare hvis vi ikke bruger Matrix42 Remote Control Host dagligt?
Ja, potentielt. Sårbarheden ligger i de Windows-tjenester der installeres med softwaren. Disse tjenester starter typisk automatisk med Windows — uanset om du aktivt bruger Matrix42-programmet eller ej. Blot det at have softwaren installeret er nok til at tjenesterne kører i baggrunden og udgør en risiko.
Hvad gør vi hvis vi ikke kan opdatere med det samme?
Som midlertidig foranstaltning bør du begrænse hvem der har lokal adgang til de berørte maskiner, og undgå at give nye brugere lokal adgang. Din IT-afdeling kan også manuelt rette stien i Windows’ registreringsdatabase (registry) til at inkludere anførselstegn — men dette er et teknisk indgreb der kræver erfaring, og en officiel patch bør følge hurtigst muligt.
Gælder sårbarheden alle versioner af Matrix42 Remote Control Host?
Ifølge de tilgængelige oplysninger er version 3.20.0031 bekræftet sårbar. Det er uklart om ældre versioner er berørt på samme måde. Kontakt Matrix42 eller din IT-leverandør for at få bekræftet hvilke versioner der er sårbare, og hvilke der er rettet.
Ramte produkter
CVSS-detaljer
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Matrix42 Remote Control Host 3.20.0031 contains an unquoted service path vulnerability in the FastViewerRemoteService and FastViewerRemoteProxy services that allows local users to execute arbitrary code with SYSTEM privileges. Attackers can place a malicious executable in the Program Files directory with a crafted name to be executed by the service during startup, gaining elevated privileges.
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.