CVE-2021-47985: Sårbar servicesti i Brother SAPSprint
Brother SAPSprint 7.60 har en sårbar servicesti, der lader lokale brugere opnå systemrettigheder. Ret stien eller opdatér.
Hvad er det?
Sårbarheden ligger i en unquoted service path, en fejl hvor en programsti med mellemrum ikke er sat i anførselstegn, så Windows kan forveksle en del af stien med et selvstændigt program. I Brother SAPSprint 7.60 gælder det tjenesten SAPSprint, som bruges til at sende udskriftsjob fra SAP-systemer til printere. En bruger med almindelige rettigheder på maskinen kan placere en ondsindet fil et sted i stien, så den bliver kørt med de højeste systemrettigheder, LocalSystem, næste gang tjenesten starter.
Hvem rammer det?
Det rammer virksomheder og kommuner, der har installeret Brother SAPSprint 7.60 på Windows-servere eller -klienter, typisk i forbindelse med SAP-udskrivning. Sårbarheden kræver, at en angriber allerede har almindelig lokal adgang til maskinen, for eksempel en medarbejder, en kontraktør eller malware, der er kommet ind ad en anden vej.
Hvad kan ske?
En medarbejder eller et program med almindelige rettigheder kan placere en fil et bestemt sted på disken og derefter genstarte tjenesten, eller vente på at serveren genstartes. Filen bliver kørt med systemrettigheder, hvilket giver fuld kontrol over maskinen: adgang til alle data, mulighed for at installere yderligere programmer og for at bevæge sig videre til andre systemer på netværket.
Hvor alvorligt er det?
CVSS-scoren er 7,8 ud af 10, alvorlig. Angrebet kræver lokal adgang til maskinen og lave rettigheder i forvejen, men ingen brugerhandling fra en anden person og ingen kompleksitet at snakke om. Der er ikke kendt aktiv udnyttelse af sårbarheden, og der er ikke offentliggjort færdiglavet angrebskode. Risikoen er derfor reel, men kræver, at en angriber allerede har fået fodfæste på systemet.
Hvad gør jeg nu?
Følgende punkter lukker hullet og begrænser skaden, hvis nogen forsøger at udnytte det.
- Undersøg om Brother SAPSprint kører i version 7.60, og opdatér til en nyere version, hvis producenten har rettet servicestien.
- Kan I ikke opdatere med det samme, så ret servicestien manuelt til at stå i anførselstegn via tjenesteregistreringen i Windows, eller flyt installationen til en sti uden mellemrum.
- Begræns skriverettigheder til Program Files-mapperne, så almindelige brugerkonti ikke kan placere filer der.
- Gennemgå hvilke konti der har lokal adgang til de berørte servere, og fjern unødvendig adgang.
- Overvåg for uventede filer eller processer, der starter i forbindelse med SAPSprint-tjenesten.
- Er I usikre på, om jeres opsætning er sårbar, eller mangler I ressourcer til at rette servicestien korrekt, bør I hente hjælp fra en it-sikkerhedsrådgiver.
Ret servicestien snarest muligt
Vi anbefaler, at I tjekker jeres Brother SAPSprint-installationer og retter servicestien eller opdaterer til en sikker version. Det er acceptabelt at vente til næste planlagte vedligeholdelsesvindue, hvis I i mellemtiden begrænser, hvem der har lokal adgang og skriverettigheder til serveren. Har I mange servere med SAP-udskrivning, giver det mening at lade en ekstern rådgiver tjekke opsætningen systematisk.
Tidslinje
Konkrete eksempler
Fodfæste udnyttes til fuld kontrol
En medarbejder i en dansk produktionsvirksomhed har fået malware på sin bærbare via en phishing-mail. Malwaren har kun almindelige brugerrettigheder, men opdager, at serveren med Brother SAPSprint har en sårbar servicesti. Den placerer en fil i den rigtige mappe, og næste gang serveren genstartes, kører filen med systemrettigheder, hvorefter angriberen har fuld adgang til SAP-udskriftsserveren og kan bevæge sig videre i netværket.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I har Brother SAPSprint 7.60 installeret på jeres Windows-maskiner. Tjek versionen i programoversigten eller hos jeres it-drift.
Hvordan tjekker vi, om servicestien er sårbar?
Åbn tjenesteregistreringen i Windows og se, om stien til SAPSprint-tjenesten indeholder mellemrum uden anførselstegn omkring hele stien. Er stien ikke sat i anførselstegn, er den sårbar.
Kan vi vente til weekenden med at rette det?
Ja, hvis I i mellemtiden sikrer, at almindelige brugere ikke har skriverettigheder til Program Files-mapperne på de berørte maskiner. Kræver angrebet lokal adgang, som er begrænset hos jer, er risikoen lav på kort sigt.
Skal vi anmelde dette til myndighederne?
Der er ikke pligt til at anmelde en sårbarhed alene. Bliver sårbarheden faktisk udnyttet, og der sker et sikkerhedsbrud med tab af data, kan I være forpligtet til at anmelde det til Datatilsynet efter databeskyttelsesreglerne.
Kræver angrebet, at nogen klikker på noget?
Nej. Angrebet kræver ikke brugerhandling fra offeret. Det kræver derimod, at angriberen allerede har lokal adgang til maskinen med almindelige brugerrettigheder.
Hvad koster det at ignorere sårbarheden?
Bliver den udnyttet, får angriberen fuld kontrol over den berørte server, hvilket kan føre til datatab, spredning til andre systemer og længere nedetid, end en simpel rettelse af servicestien koster.
CVSS-detaljer
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Brother SAPSprint 7.60 contains an unquoted service path vulnerability in the SAPSprint service binary that allows local attackers to escalate privileges. Attackers can place a malicious executable in the Program Files directory path to be executed with LocalSystem privileges when the service starts automatically.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.