CVE-2019-25747: Rettighedsfejl i Network Inventory Advisor
Uciteret sti i tjenesten niaservice i Network Inventory Advisor 5.0.26.0 kan give lokale brugere fulde systemrettigheder.
Hvad er det?
Sårbarheden skyldes en uciteret sti (CWE-428) i tjenesten niaservice, som Network Inventory Advisor 5.0.26.0 installerer på Windows. Når en programsti indeholder mellemrum og ikke er sat i citationstegn, kan Windows fejltolke stien og forsøge at køre en anden fil fra en mellemliggende mappe, hvis den findes der. En lokal bruger med begrænsede rettigheder kan udnytte dette ved at placere en skadelig programfil i en af de mapper, Windows leder igennem. Når tjenesten starter eller genstartes, kører den skadelige fil med LocalSystem-rettigheder, det højeste rettighedsniveau i Windows.
Hvem rammer det?
Sårbarheden rammer virksomheder, der har installeret Network Inventory Advisor 5.0.26.0 til at kortlægge IT-udstyr og software på Windows-servere eller -klienter. Alle systemer, hvor tjenesten niaservice kører, er potentielt berørt, uanset om det er en enkelt administrationsserver eller flere maskiner i et netværk.
Hvad kan ske?
En medarbejder eller et program med almindelige brugerrettigheder kan placere en skadelig fil i en af de mapper, som den uciterede sti peger ind i. Ved næste genstart af tjenesten eller serveren udføres filen automatisk med systemrettigheder. Herfra kan angriberen oprette nye administratorkonti, deaktivere sikkerhedsværktøjer, installere ransomware eller få fuld kontrol over den ramte maskine.
Hvor alvorligt er det?
CVSS-scoren er 7,8 af 10, alvorlig. Angrebet kræver lokal adgang til maskinen (AV:L), altså at angriberen allerede har en konto eller adgang til systemet, men kun med lave rettigheder (PR:L). Der kræves ingen handling fra en bruger (UI:N), og konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed, fordi angriberen ender med LocalSystem-rettigheder. Der er ikke oplysninger om aktiv udnyttelse i det fri på offentliggørelsesdatoen.
Hvad gør jeg nu?
Følg punkterne i prioriteret rækkefølge for at lukke hullet:
- Sæt citationstegn om binærstien til niaservice i tjenestens konfiguration (via services.msc eller registreringsdatabasen), så Windows ikke fejltolker mellemrum i stien.
- Kontrollér, om leverandøren af Network Inventory Advisor har udsendt en nyere version, der retter fejlen, og opgradér i så fald.
- Begræns skriverettigheder for almindelige brugere i de mapper, som stien går igennem, så uautoriserede filer ikke kan placeres der.
- Overvej at afinstallere programmet, hvis det ikke længere er nødvendigt eller ikke understøttes af leverandøren.
- Gennemgå logfiler for tjenesten for tegn på uventede genstarter eller ukendte processer.
- Kontakt os hos Auroa, hvis I er i tvivl om, hvordan tjenestens sti skal rettes, eller om systemet i øvrigt er sikkert konfigureret.
Ret uciteret sti inden for en uge
Vi anbefaler, at I retter den uciterede sti i tjenestekonfigurationen så hurtigt som muligt, da det er en enkel ændring uden driftsforstyrrelser. Det er i orden at vente med en eventuel afinstallering eller opgradering, hvis I samtidig har begrænset skriverettigheder korrekt i de relevante mapper. Hvis I ikke selv kan finde eller rette stien, bør I søge hjælp, da fejlen giver adgang til fulde systemrettigheder.
Tidslinje
Konkrete eksempler
Lokal medarbejder eskalerer rettigheder
En dansk produktionsvirksomhed bruger Network Inventory Advisor til at holde styr på computere og software i huset. En medarbejder med almindelig brugerkonto placerer en skadelig fil i en mappe, som den uciterede tjenestesti går igennem. Ved næste genstart af serveren kører filen med systemrettigheder, og medarbejderen får adgang til at oprette en ny administratorkonto og læse fortrolige filer, vedkommende ellers ikke havde adgang til.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I har installeret Network Inventory Advisor 5.0.26.0, og tjenesten niaservice kører på jeres Windows-systemer. Tjek tjenestelisten i services.msc for at se, om niaservice findes.
Hvordan tjekker vi, om stien er uciteret?
Åbn services.msc, find niaservice, og se egenskaberne. Står programstien uden citationstegn og med mellemrum i mappenavne, er den sårbar. I kan også tjekke registreringsdatabasen under HKLMSYSTEMCurrentControlSetServicesniaservice.
Kan vi vente til weekenden med at rette dette?
Ja, hvis der ikke er tegn på aktiv udnyttelse eller uautoriseret adgang til systemet. Da angrebet kræver lokal adgang, er risikoen lavere end ved fejl, der kan udnyttes over internettet, men fejlen bør rettes inden for kort tid.
Skal vi anmelde dette til Datatilsynet?
Kun hvis I konstaterer, at sårbarheden faktisk er udnyttet, og der er sket adgang til eller lækage af persondata. Selve sårbarheden i sig selv udløser ikke en anmeldelsespligt.
Er der en officiel opdatering fra leverandøren?
Der er ikke oplysninger om en officiel opdatering på offentliggørelsesdatoen. I bør selv rette den uciterede sti som beskrevet, indtil en eventuel opdatering foreligger.
Påvirker det andre programmer end Network Inventory Advisor?
Nej, sårbarheden er specifik for tjenesten niaservice, som installeres af Network Inventory Advisor 5.0.26.0. Andre programmer med lignende uciterede stier har separate sårbarheder.
CVSS-detaljer
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Network Inventory Advisor 5.0.26.0 installs the niaservice service with an unquoted binary path that allows local attackers to escalate privileges by placing malicious executables in intermediate directories. Attackers can exploit the unquoted path in the service configuration to execute arbitrary code with LocalSystem privileges when the service starts or restarts.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.