CVE-2022-50971: Sti-fejl i Malwarebytes 4.5 giver fulde rettigheder

CVE-2022-50971 er en sårbarhed i Malwarebytes 4.5, hvor tjenesten MBAMService har en ikke-anført tjenestesti (unquoted service path). Det betyder, at Windows leder efter programfilen i flere mapper, fordi stien til programmet ikke er sat i citationstegn. En lokal bruger kan udnytte dette ved at placere en skadelig fil i en af de mapper, Windows undersøger først, når tjenesten starter. Filen bliver derefter kørt med LocalSystem-rettigheder, som er de højeste rettigheder på en Windows-maskine.

Sårbarheden rammer virksomheder, der kører Malwarebytes 4.5 på Windows-servere eller -arbejdsstationer. Det gælder både private og erhvervsversioner, hvor MBAMService kører som systemtjeneste. Alle enheder, hvor brugere har mulighed for at skrive filer til mapper som C:Program eller lignende dele af programstien, er i risiko.

En medarbejder eller en person med adgang til en almindelig brugerkonto kan placere en skadelig fil på maskinen og opnå fulde administratorrettigheder ved næste genstart af tjenesten eller systemet. Herfra kan angriberen installere andet skadeligt program, læse alle filer, deaktivere sikkerhedsprogrammer eller sprede sig til andre systemer på netværket. Fordi selve antivirusprogrammet er indgangen, kan det svække den beskyttelse, virksomheden ellers har investeret i.

CVSS-score er 7,8 ud af 10, hvilket er alvorligt. Angrebet kræver lokal adgang til maskinen og en konto med lav rettighed, men ingen brugerinteraktion fra andre. Det kan altså ikke udføres over internettet direkte, men en angriber, der allerede har fået fodfæste på en enkelt pc, kan bruge fejlen til at tage kontrol over hele systemet. Der er ikke oplyst om aktiv udnyttelse i praksis.

Vi anbefaler følgende skridt for at lukke sårbarheden:

1. Opdatér Malwarebytes til den nyeste version, hvor tjenestestien er rettet, eller sæt stien manuelt i citationstegn i registreringsdatabasen under tjenestens ImagePath.
2. Gennemgå adgangsrettigheder til mapperne C: og C:Program Files, så almindelige brugere ikke kan skrive filer der.
3. Kontrollér øvrige installerede programmer for samme type ikke-anførte tjenestestier, da fejlen er en almindelig konfigurationsfejl.
4. Begræns lokal adgang og brug af standardbrugerkonti med færrest nødvendige rettigheder på servere og vigtige arbejdsstationer.
5. Log og overvåg oprettelse af nye filer i systemmapper, hvis I har et overvågningssystem.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan bekræfte, at tjenestestien er rettet korrekt, eller hvis I finder tegn på misbrug.