CVE-2020-37251: Sårbarhed i RealTimes Desktop Service
En uskrevet sti i RealTimes Desktop Service giver lokale brugere systemrettigheder. Ret stien eller afinstallér tjenesten.
Hvad er det?
En uskrevet sti i en Windows-tjeneste betyder, at tjenesten rpdsvc.exe i RealTimes Desktop Service er registreret med en filsti, der ikke er sat i citationstegn, selv om stien indeholder mellemrum. Windows leder derfor efter en eksekverbar fil i flere trin af stien, og en lokal bruger kan placere en skadelig fil et sted, hvor Windows finder den før den rigtige fil. Fejltypen kaldes CWE-428, og den udnyttes, når tjenesten starter, typisk ved genstart af computeren eller når tjenesten selv genstartes. Den skadelige fil bliver herefter kørt med LocalSystem-rettigheder, det højeste rettighedsniveau i Windows, hvilket giver angriberen fuld kontrol over computeren.
Hvem rammer det?
Sårbarheden findes i RealTimes Desktop Service version 18.1.4, en baggrundstjeneste der installeres sammen med RealTimes-mediesoftware, tidligere kendt som RealPlayer, på Windows-computere. Virksomheder, der har RealTimes eller ældre RealPlayer-relateret software installeret på medarbejdernes computere, kan være ramt. Det gælder især ældre computere eller maskiner, der ikke er ryddet for gammel software ved nyanskaffelse eller genudrulning.
Hvad kan ske?
En medarbejder eller en angriber, der allerede har et almindeligt brugerlogin på en computer, kan placere en fil med et bestemt navn i en mappe uden at have administratorrettigheder. Ved næste genstart af computeren, eller når tjenesten selv genstarter, kører Windows filen med systemrettigheder. Angriberen får dermed fuld kontrol over computeren, kan installere yderligere software, læse alle filer og bruge computeren som springbræt videre ind i virksomhedens netværk.
Hvor alvorligt er det?
CVSS-scoren er 7,8 ud af 10, alvorlig. Angrebet kræver lokal adgang, altså at angriberen allerede er logget ind på computeren, dog kun med lave rettigheder svarende til en almindelig medarbejderkonto. Der kræves ingen handling fra en anden bruger, og angrebet er teknisk enkelt at udføre. Konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed, fordi angriberen ender med systemrettigheder. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes i angreb.
Hvad gør jeg nu?
Følgende skridt lukker hullet og reducerer risikoen, mens I afklarer om softwaren stadig er i brug.
- Sæt filstien til rpdsvc.exe i citationstegn i Windows-registreringsdatabasen under tjenestens ImagePath-værdi, eller afinstallér RealTimes Desktop Service helt, hvis softwaren ikke bruges.
- Undersøg om RealTimes eller RealPlayer er installeret på virksomhedens computere, for eksempel gennem jeres softwareoversigt eller Services.msc.
- Begræns skriverettigheder for almindelige brugere i de mapper, som den uskrevne sti leder til, så en skadelig fil ikke kan placeres der.
- Overvåg lokale administratorlogs for uventede tjenestestarter eller nye processer, der kører med systemrettigheder.
- Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I har mange computere med RealTimes installeret og har brug for hjælp til at finde og rette dem alle.
Ret sti eller afinstallér inden en uge
Vi anbefaler at I afinstallerer RealTimes Desktop Service, hvis softwaren ikke bruges aktivt i virksomheden, da det er den enkleste og mest sikre løsning. Er I afhængige af softwaren, bør I rette den uskrevne sti i registreringsdatabasen inden for kort tid. Det er kun forsvarligt at vente, hvis computeren ikke deles med andre, og ingen udenforstående har lokal login-adgang.
Tidslinje
Konkrete eksempler
Delt computer på lager eller reception
En dansk virksomhed har en fælles computer i receptionen eller på lageret, hvor flere medarbejdere logger ind med almindelige brugerkonti, og hvor gammel medieafspilningssoftware som RealTimes stadig er installeret fra en tidligere leverandørinstallation. En medarbejder med et almindeligt login placerer en skadelig fil i den sårbare mappe, og ved næste genstart af computeren får vedkommende systemrettigheder og adgang til hele netværket, computeren er tilsluttet.
Ofte stillede spørgsmål
Er vores virksomhed ramt af CVE-2020-37251?
I er ramt, hvis RealTimes eller ældre RealPlayer-software er installeret på jeres Windows-computere. Tjek jeres softwareoversigt eller kig efter tjenesten RealTimes Desktop Service i Windows.
Hvordan tjekker vi om vi bruger den sårbare tjeneste?
Åbn Services.msc på computeren og se om RealTimes Desktop Service findes i listen. I kan også tjekke registreringsdatabasen for tjenestens ImagePath-værdi og se om filstien er sat i citationstegn.
Kan vi vente til weekenden med at rette det?
Det afhænger af, hvem der har lokal adgang til computeren. Deles computeren af flere medarbejdere, eller har eksterne konsulenter adgang, bør I rette det hurtigere. Er det en enkeltmandscomputer med kun én betroet bruger, kan det vente kort tid.
Skal vi anmelde dette til Datatilsynet?
Kun hvis sårbarheden faktisk er udnyttet, og der er sket adgang til personoplysninger. Selve tilstedeværelsen af sårbarheden udløser ikke i sig selv en anmeldepligt.
Er der en officiel opdatering fra leverandøren?
Der er ikke fundet en officiel opdatering, der retter den uskrevne sti. I skal derfor selv rette registreringsdatabasen eller afinstallere softwaren.
Hvad er en uskrevet stifinder-fejl?
Det er en fejl, hvor Windows registrerer en programsti med mellemrum uden citationstegn omkring. Windows leder derfor forkert efter programmet, og en lokal bruger kan udnytte det til at få egen kode kørt med højere rettigheder.
CVSS-detaljer
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
RealTimes Desktop Service 18.1.4 contains an unquoted service path vulnerability in the rpdsvc.exe binary that allows local attackers to escalate privileges. Attackers can place malicious executables in unquoted path directories to execute arbitrary code with LocalSystem privileges during service startup or system reboot.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.