„`html
Zusammenfassung
Die Schwachstelle CVE-2018-25359 betrifft Splinterware System Scheduler Pro in Version 5.12 und ermöglicht eine lokale Privilegieneskalation durch unsichere Dateiberechtigungen. Ein Angreifer mit niedrigen Berechtigungen kann die Service-Exe-Datei manipulieren und mit höchsten Systemrechten (LocalSystem) ausführen.
Betroffene Systeme
Primär betroffen ist Splinterware System Scheduler Pro Version 5.12. Die Schwachstelle wird als lokalspezifisch klassifiziert und erfordert physischen oder administrativen Zugriff auf das betroffene System. Eine genaue Liste weiterer anfälliger Versionen liegt nicht vor.
Technische Details
Das Sicherheitsproblem wurzelt in unzureichenden Dateiberechtigungen im Installationsverzeichnis von System Scheduler Pro. Die ausführbare Datei WService.exe wird mit Dateisystem-Permissionen installiert, die Benutzern mit niedrigen Privilegien Schreib- oder Änderungszugriff ermöglichen. Ein lokaler Angreifer kann die original WService.exe-Datei umbenennen und eine Malware-Variante mit gleichem Namen einschleusen.
Beim Auslösen des Services durch Systemereignisse oder Scheduler-Aktionen wird die manipulierte ausführbare Datei unter den Sicherheitskontext des LocalSystem-Kontos ausgeführt. Dies führt zu einer Privilegieneskalation von niedrigen Benutzerrechten zu höchsten Systemrechten.
Empfohlene Massnahmen
- Sofortige Maßnahmen: Überprüfung der Dateiberechtigungen im Installationsverzeichnis von System Scheduler Pro; Beschränkung auf Administrator-Zugriff
- Deinstallation: Erwägen Sie die Entfernung von System Scheduler Pro, solange kein Patch verfügbar ist
- Alternative Lösungen: Migration auf aktuell gepatchte Task-Scheduler-Lösungen
- Monitoring: Überwachung von Dateiänderungen im Installationsverzeichnis und Service-Neustarts
- Zugriffskontrolle: Restriktive lokale Benutzerrichtlinien implementieren
Bewertung
CVSS-Score: 8.4 (High)
Die hohe Kritikalität ergibt sich aus der Kombination von einfachem Angriffsvektor, fehlendem Patch und direkter Erlangung von Systemrechten. Da jedoch lokaler Zugriff erforderlich ist, bleibt die Bedrohung auf intern kompromittierte Systeme begrenzt.
„`