CVE-2020-37253: Sårbarhed i Winstep Xtreme Service
Fejl i Winstep Xtreme Service kan give lokale brugere systemrettigheder. Ret servicestien eller opdater programmet.
Hvad er det?
CVE-2020-37253 er en sårbarhed i skrivebordsprogrammet Winstep Xtreme, version 18.06.0096. Fejlen skyldes en såkaldt unquoted service path, hvor stien til programmets Windows-tjeneste ikke er sat i anførselstegn. Windows kan derfor forveksle en ondsindet fil placeret tidligere i stien med selve tjenesteprogrammet. Når tjenesten starter, kører den med de højeste rettigheder på systemet, kaldet LocalSystem, og en angriber med almindelig brugeradgang kan dermed få fuld kontrol over maskinen.
Hvem rammer det?
Det rammer virksomheder, der har installeret Winstep Xtreme version 18.06.0096 på Windows-computere. Programmet bruges typisk til at tilpasse skrivebordet med docks og ikoner, og det ses oftest på enkelte medarbejderes maskiner snarere end som en central del af it-infrastrukturen. Alle Windows-versioner, hvor tjenesten kører med systemrettigheder, er berørt.
Hvad kan ske?
En medarbejder eller angriber, der allerede har almindelig brugeradgang til en maskine, kan placere en skadelig fil i Program Files-mappen. Når Winstep-tjenesten genstartes, eksempelvis ved en genstart af computeren, køres filen automatisk med fulde systemrettigheder. Det giver angriberen mulighed for at installere skadelig software, læse alle data på maskinen eller sprede sig videre i netværket, uden at det kræver adgang fra internettet.
Hvor alvorligt er det?
CVSS-scoren er 7,8 ud af 10, hvilket klassificeres som alvorlig. Angrebet kræver lokal adgang til maskinen og et brugerlogin med lave rettigheder, men ingen brugerinteraktion fra andre og ingen kompleks forberedelse. Konsekvensen er høj på alle tre parametre: fortrolighed, integritet og tilgængelighed, fordi angriberen ender med fuld kontrol over systemet. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes i angreb, men den er offentligt beskrevet med tilstrækkelige detaljer til, at et angreb kan udvikles.
Hvad gør jeg nu?
Da der ikke foreligger en officiel opdatering fra leverandøren i de tilgængelige oplysninger, bør I selv lukke hullet midlertidigt, mens I undersøger langsigtede løsninger.
- Ret servicestien manuelt: find Winstep Xtreme Service i Windows-registreringsdatabasen og sæt anførselstegn om den fulde sti til programfilen.
- Begræns skriverettigheder for almindelige brugere til Program Files og andre mapper, hvor tjenester ligger, så uautoriserede filer ikke kan placeres der.
- Undersøg, om Winstep Xtreme er installeret på flere maskiner i organisationen, og prioriter maskiner med flere brugere eller delt adgang.
- Tjek jævnligt for opdateringer fra Winstep, og opgrader til en rettet version, så snart den findes.
- Overvåg logfiler for uventede filer eller processer, der starter i forbindelse med tjenesten.
- Kontakt Auroa, hvis I ikke selv kan verificere rettighederne på servicestierne eller har brug for hjælp til at gennemgå jeres Windows-maskiner.
Ret servicestien inden for en uge
Vi anbefaler, at I retter servicestien manuelt og begrænser skriverettigheder til programmapper, da der ikke findes en officiel opdatering. Det er en fejl, der kræver lokal adgang, så den bør prioriteres på maskiner med flere brugere eller delt adgang, mens enkeltbrugermaskiner med begrænset adgang kan vente til en almindelig opdateringsrunde.
Tidslinje
Konkrete eksempler
Delt kontormaskine hos en dansk SMV
En dansk virksomhed har en fælles Windows-computer i receptionen, som flere medarbejdere bruger med almindelige brugerkonti. En medarbejder placerer, bevidst eller ubevidst via skadelig software, en fil i Program Files-mappen. Ved næste genstart af maskinen kører filen med systemrettigheder, og angriberen får fuld kontrol over maskinen og adgang til data, der ellers var beskyttet.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis Winstep Xtreme version 18.06.0096 er installeret på jeres Windows-computere. Tjek programlisten på jeres maskiner eller spørg jeres it-leverandør.
Hvordan tjekker vi om Winstep Xtreme er installeret?
Gå ind i Windows’ program- og funktionsliste, eller søg efter ‘Winstep’ i tjenestelisten (services.msc). Der kan I se, om Winstep Xtreme Service kører, og hvilken sti den bruger.
Kan vi vente til weekenden med at rette det?
Ja, hvis maskinen kun bruges af én betroet medarbejder uden delt adgang. Er maskinen delt af flere brugere eller tilgængelig via fjernadgang, bør rettelsen ske hurtigere.
Skal vi anmelde denne sårbarhed til nogen?
Der er ikke krav om anmeldelse, medmindre sårbarheden faktisk udnyttes og fører til et sikkerhedsbrud med persondata. I så fald gælder de almindelige regler om underretning af Datatilsynet.
Hvad er en 'unquoted service path'?
Det er en fejl, hvor stien til en Windows-tjenestes programfil ikke er sat i anførselstegn. Hvis stien indeholder mellemrum, kan Windows fejlagtigt forsøge at køre en anden fil, der ligger tidligere i stien, hvilket en angriber kan udnytte.
Kræver angrebet adgang til vores netværk udefra?
Nej, angrebet kræver lokal adgang til den enkelte maskine, enten fysisk eller via en eksisterende brugerkonto. Det kan ikke udføres direkte fra internettet.
CVSS-detaljer
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Winstep 18.06.0096 contains an unquoted service path vulnerability in the Winstep Xtreme Service that allows local attackers to escalate privileges. Attackers can place malicious executables in the Program Files directory to be executed with LocalSystem privileges when the service starts.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.