CVE-2020-37254: Uciteret sti i Wondershare PDFelement

CVE-2020-37254 er en sårbarhed i Windows-tjenesten WsAppService, som installeres af Wondershare PDFelement 5.2.9. Tjenesten er sat op med en uciteret sti, det vil sige en filplacering uden anførselstegn, hvor Windows kan blive vildført til at starte et forkert program, hvis der findes mapper med mellemrum i navnet på stien. En lokal bruger kan placere et skadeligt program i en af disse mapper. Når tjenesten genstartes, eller computeren startes op, kører det skadelige program automatisk med de højeste rettigheder på systemet, kaldet LocalSystem.

Sårbarheden rammer virksomheder, der har installeret Wondershare PDFelement version 5.2.9 på Windows-computere. Det gælder både enkeltbrugere og delte maskiner, hvor flere medarbejdere logger ind, for eksempel i kommunale sagsbehandlingsmiljøer eller på fælles kontor-pc’er. Nyere versioner af PDFelement kan være upåvirkede, men det bør bekræftes hos leverandøren.

En medarbejder eller et program, der allerede har almindelig brugeradgang, kan udnytte fejlen til at få de samme rettigheder som systemet selv. Det betyder, at ondsindet software kan slå antivirus fra, læse alle filer på maskinen, oprette nye administratorkonti eller sprede sig videre i netværket. I praksis kan en enkelt inficeret pc blive springbrættet til hele virksomhedens it-miljø.

CVSS-scoren er 7,8 ud af 10, hvilket er alvorligt. Angrebet kræver lokal adgang til maskinen, altså at angriberen allerede er logget ind eller har fået kørt kode på den. Det kræver ikke administratorrettigheder i forvejen, kun en almindelig brugerkonto, og det kræver ingen handling fra en anden bruger. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes, men fremgangsmåden med uciterede stier er velkendt og let at automatisere, hvis en angriber først har fået fodfæste.

Det vigtigste er at fjerne den uciterede sti, så Windows ikke kan snydes til at køre det forkerte program.

1. Undersøg om Wondershare PDFelement 5.2.9 er installeret på jeres Windows-maskiner, og find stien til tjenesten WsAppService i registreringsdatabasen.
2. Sæt anførselstegn omkring hele stien til tjenestens program, eller opdatér til en nyere version af PDFelement, hvis leverandøren har rettet fejlen der.
3. Begræns hvem der kan skrive filer i de mapper, stien går igennem, så almindelige brugere ikke kan lægge programmer der.
4. Gennemgå lokale administratorrettigheder og fjern unødvendige brugerkonti med lokal adgang til maskinerne.
5. Kontakt en it-sikkerhedsrådgiver, hvis I ikke selv har kompetencerne til at rette servicestien eller vurdere omfanget på jeres maskiner.