CVE-2025-71326: Sårbarhed i AVAST Antivirus 25.11

CVE-2025-71326 er en sårbarhed i SecureLine-tjenesten i AVAST Antivirus 25.11. Fejlen skyldes en unquoted service path, altså at stien til tjenestens programfil ikke er sat i citationstegn i Windows’ tjenestekonfiguration. Indeholder stien mellemrum og er den ikke anført med citationstegn, læser Windows stien fra det første mellemrum og kan derved blive vildledt til at starte en forkert fil. Det gør det muligt for en lokal bruger med lave rettigheder at placere en skadelig programfil et sted i den ukorrekte sti, som Windows læser før den rigtige programfil, og få den skadelige fil kørt med tjenestens rettigheder, som her er SYSTEM, det højeste rettighedsniveau på en Windows-maskine.

Sårbarheden rammer virksomheder, der har installeret AVAST Antivirus version 25.11 med SecureLine-komponenten på Windows-computere. Det gælder både medarbejdercomputere og servere, hvor programmet er sat op til at køre som tjeneste. Alle brugere med almindelig, lokal adgang til en sådan maskine kan i princippet udnytte fejlen, uanset om de har administratorrettigheder eller ikke.

En medarbejder eller en skadelig kode, der allerede kører med lave rettigheder på en maskine, kan udnytte fejlen til at få fulde SYSTEM-rettigheder. Det betyder, at angriberen efterfølgende kan læse og ændre alle filer, installere yderligere programmer, deaktivere sikkerhedsfunktioner og skjule sine spor på den pågældende maskine. I en dansk virksomhed er den typiske situation, at malware, der er landet på en medarbejders pc via mail eller et inficeret USB-drev, bruger denne fejl til at trænge dybere ind i systemet end den oprindeligt havde adgang til.

CVSS-scoren er 7,8 ud af 10, alvorlig. Angrebet kræver lokal adgang til maskinen, det vil sige, at angriberen allerede skal have et login eller en kørende proces på systemet. Der kræves lave rettigheder for at starte angrebet, men ingen handling fra en bruger, og resultatet er fuld kompromittering af fortrolighed, integritet og tilgængelighed. Der er ikke offentligt kendte tilfælde af udnyttelse på tidspunktet for offentliggørelsen, men fordi angrebet ikke kræver brugerinteraktion, kan det automatiseres af malware, der allerede er på maskinen.

Følg punkterne i denne rækkefølge for at lukke hullet og begrænse risikoen, mens I venter på en officiel rettelse.

1. Kontrollér om leverandøren har udsendt en opdatering til AVAST Antivirus, der retter servicestien, og installér den på alle berørte maskiner.
2. Er der ingen opdatering endnu, så ret servicestien manuelt: brug kommandoen sc config eller redigér tjenestens registreringsdatabasenøgle, så stien til programfilen sættes i citationstegn.
3. Begræns hvilke lokale brugere der har skriveadgang til de mapper, der ligger i stien til tjenesten, så ingen kan lægge en skadelig fil dér.
4. Gennemgå andre installerede tjenester på samme måde, da unquoted service path ofte findes flere steder på en maskine.
5. Overvåg for uventede processer, der starter med SYSTEM-rettigheder, i jeres logs eller SIEM-løsning.
6. Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ikke selv kan verificere, om stien er rettet korrekt, eller hvis I har mange maskiner, der skal tjekkes.