CVE-2025-14018

CVE-2025-14018: ثغرة تصعيد الامتيازات في NetBT e-Fatura

📋 معلومات عامة

🔍 وصف الثغرة

تسمح هذه الثغرة لمستخدم محلي غير مصرح له بتنفيذ كود عشوائي بامتيازات مرتفعة على النظام. تم تكوين خدمة InboxProcessor من NetBT e-Fatura باستخدام مسار غير مقتبس (Unquoted Service Path)، مما يسمح للمهاجم ذي الأذونات الأساسية بتصعيد الامتيازات حتى LocalSystem.

نواقل الهجوم المُحددة

1. مسار غير مقتبس

   • المسار الحالي: C:\inetpub\wwwroot\InboxProcessor\Netbt.Inbox.Process.exe
   • بدون علامات الاقتباس، يحاول النظام تنفيذ: C:\inetpub\wwwroot\InboxProcessor.exe
   • يمكن للمهاجم وضع ملف تنفيذي ضار في هذا المسار الوسيط

2. أذونات مفرطة

   • مجموعة BUILTIN\Users لديها أذونات قراءة وكتابة (RW)
   • يمكن للمستخدمين العاديين تعديل الملفات في دليل الخدمة

3. تنفيذ بأقصى الامتيازات

   • يتم تشغيل الخدمة كـ LocalSystem
   • السيطرة الكاملة على النظام إذا تم تحقيق التصعيد

📊 إثبات المفهوم (PoC)

التكوين المعرض المُكتشف

C:\Users\efatura>sc qc InboxProcessor
[SC] QueryServiceConfig SUCCESS

SERVICE_NAME: InboxProcessor
        TYPE               : 10  WIN32_OWN_PROCESS
        START_TYPE         : 2   AUTO_START
        ERROR_CONTROL      : 1   NORMAL
        BINARY_PATH_NAME   : C:\inetpub\wwwroot\InboxProcessor\Netbt.Inbox.Process.exe
        LOAD_ORDER_GROUP   :
        TAG                : 0
        DISPLAY_NAME       : InboxProcessor
        DEPENDENCIES       :
        SERVICE_START_NAME : LocalSystem

تحليل الأذونات

C:\Users\efatura\Desktop>accesschk.exe /accepteula -uwdq "C:\inetpub\wwwroot\InboxProcessor\"

Accesschk v6.15 - Reports effective permissions for securable objects
Copyright (C) 2006-2022 Mark Russinovich
Sysinternals - www.sysinternals.com

C:\inetpub\wwwroot\InboxProcessor
  RW BUILTIN\Users                    ⚠️ CRÍTICO
  RW NT SERVICE\TrustedInstaller
  RW NT AUTHORITY\SYSTEM
  RW BUILTIN\Administrators

🛠️ الحل والتخفيف

المتطلبات الأساسية

• الوصول بامتيازات المسؤول
• تشغيل PowerShell كمسؤول

الخطوة 1: إضافة علامات اقتباس لمسار الخدمة

قم بتشغيل الأمر التالي لإضافة علامات الاقتباس إلى مسار الملف التنفيذي:

sc.exe config InboxProcessor binPath= "`"C:\inetpub\wwwroot\InboxProcessor\Netbt.Inbox.Process.exe`""

⚠️ ملاحظة: المسافة بعد binPath= إلزامية.

الخطوة 2: تقييد أذونات المجلد

قم بإزالة الأذونات المفرطة لمجموعة المستخدمين العاديين:

# Definir la ruta de la carpeta
$path = "C:\inetpub\wwwroot\InboxProcessor"

# Eliminar todos los permisos para el grupo de Usuarios comunes
icacls $path /remove "BUILTIN\Users" /t /c /l

# Asegurar que los Administradores y el Sistema mantengan el control total
icacls $path /grant "Administrators:(OI)(CI)F" /t
icacls $path /grant "SYSTEM:(OI)(CI)F" /t

شرح المعاملات:

• /t : تطبيق التغييرات بشكل متكرر
• /c : الاستمرار حتى في حالة وجود أخطاء
• /l : العمل على الرابط الرمزي بدلاً من الهدف
• (OI)(CI)F : وراثة الأذونات مع التحكم الكامل

الخطوة 3: التحقق النهائي

تأكد من تطبيق التغييرات بشكل صحيح:

# Verificar que la ruta ahora está entrecomillada
sc qc InboxProcessor

# Verificar que BUILTIN\Users ya no tiene permisos RW
accesschk.exe /accepteula -uwdq "C:\inetpub\wwwroot\InboxProcessor\"

النتيجة المتوقعة:

• BINARY_PATH_NAME يجب أن يظهر بين علامات الاقتباس
• BUILTIN\Users يجب ألا يظهر في قائمة الأذونات

📦 تحديث البرنامج

يوصى بتحديث NetBT e-Fatura إلى الإصدار 1.2.15 أو أعلى، والذي يتضمن تصحيحات أصلية لهذه الثغرة.

خطوات التحديث

1. تنزيل أحدث إصدار من: https://net-bt.com.tr/e-fatura/
2. عمل نسخة احتياطية من التكوين الحالي
3. تشغيل مثبت التحديث
4. إعادة تشغيل الخدمة InboxProcessor

📚 المراجع

• سجل CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-14018
• CWE-428: مسار بحث أو عنصر غير مقتبس
• البائع: NetBT Consulting Services Inc.
• الاعتمادات: Seccops, Levent Sungu

✅ قائمة التحقق الأمني

• إضافة علامات اقتباس لمسار الخدمة
• إزالة أذونات RW من BUILTIN\Users
• التحقق من أن المسؤولين و SYSTEM فقط لديهم الوصول
• تحديث NetBT e-Fatura إلى v1.2.15+
• إعادة تشغيل خدمة InboxProcessor
• تشغيل تدقيق أمني بعد التصحيح
• توثيق التغييرات في سجل التغييرات

⚠️ تحذير أمني

تسمح هذه الثغرة بـ التنفيذ التعسفي للكود بامتيازات LocalSystem. تعتبر خطرًا حرجًا في بيئات الإنتاج. قم بتطبيق التصحيحات فورًا.

آخر تحديث: 22/12/2025