CVE-2023-54353: Sårbarhed i Chromacam webkamera-software
Uskrevet sti i Chromacams tjeneste lader lokale brugere køre kode som systembruger. Fjern softwaren eller stram rettigheder på Program Files.
Hvad er det?
CVE-2023-54353 er en sårbarhed i webkamera-softwaren Chromacam version 4.0.3.0. Fejlen sidder i tjenesten PsyFrameGrabberService, som Windows starter automatisk ved opstart. Tjenestens sti til programfilen er ikke sat i anførselstegn. Windows leder derfor efter en køre-fil flere steder i stien, for eksempel direkte i C: eller i C:Program Files (x86). Har en bruger skriverettigheder til et af disse steder, kan vedkommende placere en fil ved navn Program.exe eller PsyFrameGrabberService.exe. Windows finder og kører denne fil, før den rigtige program-fil, og det sker med de højeste rettigheder på maskinen, kaldet LocalSystem.
Hvem rammer det?
Sårbarheden rammer Windows-computere, hvor Chromacam 4.0.3.0 fra Personify er installeret. Softwaren bruges typisk til baggrundsudskiftning i videomøder og findes derfor ofte på medarbejder-pc’er i kontorer, kundeservice og kommunale forvaltninger, der laver mange videomøder. Alle pc’er med tjenesten PsyFrameGrabberService installeret og aktiv er potentielt berørt, uanset om Chromacam bruges dagligt eller bare ligger installeret.
Hvad kan ske?
En medarbejder eller et program med begrænsede rettigheder kan placere en ondsindet fil i den sårbare mappe og få den til at køre med fulde systemrettigheder ved næste genstart. I praksis betyder det, at en angriber, der allerede har fået almindelig adgang til en pc, for eksempel via et vedhæftet dokument, kan hæve sine rettigheder til fuld kontrol over maskinen. Herfra kan angriberen installere skjult malware, deaktivere sikkerhedssoftware eller bruge pc’en som springbræt videre ind i netværket.
Hvor alvorligt er det?
CVSS-scoren er 7,8 ud af 10, hvilket er kategoriseret som alvorlig. Angrebet kræver lokal adgang til maskinen, altså et login eller en kørende proces på selve pc’en, men ikke adgang over netværket. Angriberen skal have lave rettigheder i forvejen, og der kræves ingen handling fra en bruger, som at klikke på noget. Lykkes angrebet, får angriberen fuld kontrol over fortrolighed, integritet og tilgængelighed på maskinen. Der er ikke oplyst om aktiv udnyttelse i naturen, men typen af fejl, uskrevet sti i en tjeneste, er velkendt og let at udnytte, når den først er fundet.
Hvad gør jeg nu?
Prioritér følgende trin for at lukke hullet:
- Afinstallér Chromacam, hvis softwaren ikke er nødvendig, eller undersøg om leverandøren har udgivet en opdateret version uden problemet.
- Kan softwaren ikke fjernes, så sæt tjenestens sti i anførselstegn manuelt via kommandoen sc config, eller brug PowerShell til at rette registreringsdatabasens ImagePath for PsyFrameGrabberService.
- Gennemgå og stram skriverettigheder til C: og C:Program Files (x86), så almindelige brugere ikke kan oprette filer der.
- Kortlæg, hvilke pc’er i organisationen der har Chromacam installeret, ved hjælp af jeres systemoversigt eller inventarværktøj.
- Overvåg lokale konti for uventede nye tjenester eller filer i systemmapper, hvis I ikke kan fjerne softwaren med det samme.
- Er I i tvivl om, hvor mange maskiner der er ramt, eller hvordan I retter stien sikkert uden at ødelægge tjenesten, så få hjælp fra en it-sikkerhedsrådgiver.
Håndtér inden for en uge
Vi anbefaler, at I fjerner Chromacam, hvis det ikke er kritisk for jeres videomøder, da der ikke er oplyst en officiel rettelse fra leverandøren. Skal softwaren blive på maskinerne, bør I rette stien i tjenestekonfigurationen og stramme skriverettigheder til systemmapperne. Det er i orden at vente til næste planlagte vedligeholdelsesvindue, da angrebet kræver lokal adgang og ikke kan udnyttes direkte fra internettet, men opgaven bør ikke glemmes helt.
Tidslinje
Konkrete eksempler
Kompromitteret medarbejder-pc i en kommune
En medarbejder i en kommunal forvaltning åbner et ondsindet vedhæftet dokument, som giver en angriber begrænset adgang til pc’en. Pc’en har Chromacam installeret til videomøder. Angriberen opdager den uskrevne sti i PsyFrameGrabberService og placerer en fil kaldet Program.exe i C:Program Files (x86). Ved næste genstart kører filen med fulde systemrettigheder, og angriberen får dermed adgang til hele maskinen og kan bevæge sig videre i kommunens netværk.
Ofte stillede spørgsmål
Er vores virksomhed ramt af denne sårbarhed?
I er ramt, hvis I har installeret Chromacam version 4.0.3.0 fra Personify på jeres Windows-pc’er. Tjek jeres softwareoversigt eller kør en søgning efter tjenesten PsyFrameGrabberService på maskinerne.
Kan angrebet ske uden fysisk adgang til maskinen?
Ja, angriberen behøver ikke stå fysisk ved pc’en. Det kræver blot, at angriberen har fået almindelig brugeradgang til systemet, for eksempel gennem et andet sikkerhedshul eller en kompromitteret bruger, og at angriberen har skriverettigheder til de sårbare mapper.
Kan vi vente til den næste planlagte opdatering?
Det er forsvarligt at vente til næste vedligeholdelsesvindue, fordi sårbarheden kræver lokal adgang og ikke kan udnyttes direkte fra internettet. Vi anbefaler dog ikke at udskyde det på ubestemt tid, da fejlen er let at udnytte, når først en angriber er inde på maskinen.
Hvordan tjekker vi, om tjenesten er sårbar?
Åbn en kommandoprompt og kør kommandoen sc qc PsyFrameGrabberService. Står stien til programmet uden anførselstegn og indeholder mellemrum, er tjenesten sårbar.
Skal vi anmelde dette til myndighederne?
Er der ikke sket et konkret misbrug eller databrud, er der som udgangspunkt ikke anmeldepligt til Datatilsynet. Konstaterer I, at sårbarheden er blevet udnyttet, og persondata er kompromitteret, skal I vurdere anmeldepligt efter databeskyttelsesforordningen.
Findes der en officiel opdatering fra leverandøren?
Der er ikke oplyst en officiel rettelse fra Personify på tidspunktet for offentliggørelsen. I bør derfor selv rette stien i tjenestekonfigurationen eller fjerne softwaren, indtil en opdatering foreligger.
CVSS-detaljer
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Chromacam 4.0.3.0 contains an unquoted service path vulnerability in the PsyFrameGrabberService that allows local attackers to execute arbitrary code by placing malicious executables in unquoted path directories. Attackers with write access to C: or subdirectories like C:Program Files (x86)Personify can place a malicious Program.exe or PsyFrameGrabberService.exe file that executes with LocalSystem privileges when the service starts automatically at boot.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.