CVE-2025-14018

CVE-2025-14018: NetBT e-Fatura Privilegieneskalations-Schwachstelle

📋 Allgemeine Informationen

🔍 Beschreibung der Schwachstelle

Diese Schwachstelle ermöglicht einem nicht autorisierten lokalen Benutzer die Ausführung beliebigen Codes mit erhöhten Privilegien im System. Der Dienst InboxProcessor von NetBT e-Fatura ist mit einem nicht in Anführungszeichen gesetzten Pfad (Unquoted Service Path) konfiguriert, was es einem Angreifer mit grundlegenden Berechtigungen ermöglicht, Privilegien bis zu LocalSystem zu eskalieren.

Identifizierte Angriffsvektoren

1. Nicht in Anführungszeichen gesetzter Pfad

   • Aktueller Pfad: C:\inetpub\wwwroot\InboxProcessor\Netbt.Inbox.Process.exe
   • Ohne Anführungszeichen versucht das System, Folgendes auszuführen: C:\inetpub\wwwroot\InboxProcessor.exe
   • Ein Angreifer kann eine schädliche ausführbare Datei in diesen Zwischenpfad legen

2. Übermäßige Berechtigungen

   • Die Gruppe BUILTIN\Users hat Lese- und Schreibberechtigungen (RW)
   • Normale Benutzer können Dateien im Dienstverzeichnis ändern

3. Ausführung mit maximalen Privilegien

   • Der Dienst wird als LocalSystem ausgeführt
   • Vollständige Systemkontrolle bei erfolgreicher Eskalation

📊 Proof of Concept (PoC)

Erkannte verwundbare Konfiguration

C:\Users\efatura>sc qc InboxProcessor
[SC] QueryServiceConfig SUCCESS

SERVICE_NAME: InboxProcessor
        TYPE               : 10  WIN32_OWN_PROCESS
        START_TYPE         : 2   AUTO_START
        ERROR_CONTROL      : 1   NORMAL
        BINARY_PATH_NAME   : C:\inetpub\wwwroot\InboxProcessor\Netbt.Inbox.Process.exe
        LOAD_ORDER_GROUP   :
        TAG                : 0
        DISPLAY_NAME       : InboxProcessor
        DEPENDENCIES       :
        SERVICE_START_NAME : LocalSystem
### Berechtigungsanalyse

```powershell
C:\Users\efatura\Desktop>accesschk.exe /accepteula -uwdq "C:\inetpub\wwwroot\InboxProcessor\"

Accesschk v6.15 - Reports effective permissions for securable objects
Copyright (C) 2006-2022 Mark Russinovich
Sysinternals - www.sysinternals.com

C:\inetpub\wwwroot\InboxProcessor
  RW BUILTIN\Users                    ⚠️ KRITISCH
  RW NT SERVICE\TrustedInstaller
  RW NT AUTHORITY\SYSTEM
  RW BUILTIN\Administrators

🛠️ Lösung und Mitigation

Voraussetzungen

• Zugriff mit Administrator-Privilegien
• PowerShell-Terminal als Administrator ausgeführt

Schritt 1: Den Dienstpfad in Anführungszeichen setzen

Führen Sie den folgenden Befehl aus, um den Pfad der ausführbaren Datei in Anführungszeichen zu setzen:

sc.exe config InboxProcessor binPath= "`"C:\inetpub\wwwroot\InboxProcessor\Netbt.Inbox.Process.exe`""

⚠️ Hinweis: Das Leerzeichen nach binPath= ist erforderlich.

Schritt 2: Ordnerberechtigungen einschränken

Entfernen Sie die übermäßigen Berechtigungen der Gruppe normaler Benutzer:

# Definieren des Ordnerpfads
$path = "C:\inetpub\wwwroot\InboxProcessor"

# Entfernen aller Berechtigungen für die Gruppe normaler Benutzer
icacls $path /remove "BUILTIN\Users" /t /c /l

# Sicherstellen, dass Administratoren und System die vollständige Kontrolle behalten
icacls $path /grant "Administrators:(OI)(CI)F" /t
icacls $path /grant "SYSTEM:(OI)(CI)F" /t

Erklärung der Parameter:

• /t : Änderungen rekursiv anwenden
• /c : Auch bei Fehlern fortsetzen
• /l : Arbeitet mit dem symbolischen Link statt dem Ziel
• (OI)(CI)F : Vererbung mit vollständiger Kontrolle

Schritt 3: Abschließende Überprüfung

Bestätigen Sie, dass die Änderungen korrekt angewendet wurden:

# Überprüfen, dass der Pfad nun in Anführungszeichen steht
sc qc InboxProcessor

# Überprüfen, dass BUILTIN\Users keine RW-Berechtigungen mehr hat
accesschk.exe /accepteula -uwdq "C:\inetpub\wwwroot\InboxProcessor\"

Erwartetes Ergebnis:

• BINARY_PATH_NAME sollte in Anführungszeichen erscheinen
• BUILTIN\Users sollte nicht in der Berechtigungsliste erscheinen

📦 Software-Update

Es wird empfohlen, NetBT e-Fatura auf Version 1.2.15 oder höher zu aktualisieren, die native Korrekturen für diese Schwachstelle enthält.

Aktualisierungsschritte

1. Download der neuesten Version von: https://net-bt.com.tr/e-fatura/
2. Ein Backup der aktuellen Konfiguration durchführen
3. Das Update-Installationsprogramm ausführen
4. Den Dienst InboxProcessor neu starten

📚 Referenzen

• CVE-Eintrag: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-14018
• CWE-428: Unquoted Search Path or Element
• Anbieter: NetBT Consulting Services Inc.
• Credits: Seccops, Levent Sungu

✅ Sicherheits-Checkliste

• Den Dienstpfad in Anführungszeichen setzen
• RW-Berechtigungen von BUILTIN\Users entfernen
• Sicherstellen, dass nur Administratoren und SYSTEM Zugriff haben
• NetBT e-Fatura auf v1.2.15+ aktualisieren
• Dienst InboxProcessor neu starten
• Sicherheitsaudit nach dem Patch durchführen
• Änderungen im Änderungsprotokoll dokumentieren

⚠️ Sicherheitswarnung

Diese Schwachstelle ermöglicht die beliebige Codeausführung mit LocalSystem-Privilegien. Sie gilt in Produktionsumgebungen als kritisches Risiko. Wenden Sie die Patches sofort an.

Letzte Aktualisierung: 22/12/2025