CVE-2025-14018

CVE-2025-14018: Vulnérabilité d'escalade de privilèges NetBT e-Fatura

📋 Informations Générales

🔍 Description de la Vulnérabilité

Cette vulnérabilité permet à un utilisateur local non autorisé d'exécuter du code arbitraire avec des privilèges élevés sur le système. Le service InboxProcessor de NetBT e-Fatura est configuré avec un chemin non entre guillemets (Unquoted Service Path), ce qui permet à un attaquant disposant d'autorisations de base d'escalader ses privilèges jusqu'à LocalSystem.

Vecteurs d'Attaque Identifiés

1. Chemin Non Entre Guillemets

   • Chemin actuel : C:\inetpub\wwwroot\InboxProcessor\Netbt.Inbox.Process.exe
   • Sans guillemets, le système tente d'exécuter : C:\inetpub\wwwroot\InboxProcessor.exe
   • Un attaquant peut placer un exécutable malveillant dans ce chemin intermédiaire

2. Autorisations Excessives

   • Le groupe BUILTIN\Users dispose d'autorisations de lecture et d'écriture (RW)
   • Les utilisateurs ordinaires peuvent modifier les fichiers dans le répertoire du service

3. Exécution avec Privilèges Maximaux

   • Le service s'exécute en tant que LocalSystem
   • Contrôle total du système si l'escalade réussit

📊 Preuve de Concept (PoC)

Configuration Vulnérable Détectée

C:\Users\efatura>sc qc InboxProcessor
[SC] QueryServiceConfig SUCCESS

SERVICE_NAME: InboxProcessor
        TYPE               : 10  WIN32_OWN_PROCESS
        START_TYPE         : 2   AUTO_START
        ERROR_CONTROL      : 1   NORMAL
        BINARY_PATH_NAME   : C:\inetpub\wwwroot\InboxProcessor\Netbt.Inbox.Process.exe
        LOAD_ORDER_GROUP   :
        TAG                : 0
        DISPLAY_NAME       : InboxProcessor
        DEPENDENCIES       :
        SERVICE_START_NAME : LocalSystem
### Analyse des Autorisations

```powershell
C:\Users\efatura\Desktop>accesschk.exe /accepteula -uwdq "C:\inetpub\wwwroot\InboxProcessor\"

Accesschk v6.15 - Reports effective permissions for securable objects
Copyright (C) 2006-2022 Mark Russinovich
Sysinternals - www.sysinternals.com

C:\inetpub\wwwroot\InboxProcessor
  RW BUILTIN\Users                    ⚠️ CRÍTICO
  RW NT SERVICE\TrustedInstaller
  RW NT AUTHORITY\SYSTEM
  RW BUILTIN\Administrators

🛠️ Solution et Atténuation

Prérequis

• Accès avec privilèges d'Administrateur
• Terminal PowerShell exécutée en tant qu'Administrateur

Étape 1 : Mettre le Chemin du Service Entre Guillemets

Exécutez la commande suivante pour ajouter des guillemets au chemin de l'exécutable :

sc.exe config InboxProcessor binPath= "`"C:\inetpub\wwwroot\InboxProcessor\Netbt.Inbox.Process.exe`""

⚠️ Note : L'espace après binPath= est obligatoire.

Étape 2 : Restreindre les Autorisations du Dossier

Supprimez les autorisations excessives du groupe d'utilisateurs ordinaires :

# Définir le chemin du dossier
$path = "C:\inetpub\wwwroot\InboxProcessor"

# Supprimer toutes les autorisations pour le groupe d'utilisateurs ordinaires
icacls $path /remove "BUILTIN\Users" /t /c /l

# Assurer que les Administrateurs et le Système conservent le contrôle total
icacls $path /grant "Administrators:(OI)(CI)F" /t
icacls $path /grant "SYSTEM:(OI)(CI)F" /t

Explication des paramètres :

• /t : Applique les modifications de manière récursive
• /c : Continue même en cas d'erreurs
• /l : Travaille sur le lien symbolique au lieu de la cible
• (OI)(CI)F : Héritage d'autorisations avec contrôle total

Étape 3 : Vérification Finale

Confirmez que les modifications ont été appliquées correctement :

# Vérifier que le chemin est maintenant entre guillemets
sc qc InboxProcessor

# Vérifier que BUILTIN\Users n'a plus d'autorisations RW
accesschk.exe /accepteula -uwdq "C:\inetpub\wwwroot\InboxProcessor\"

Résultat attendu :

• BINARY_PATH_NAME doit apparaître entre guillemets
• BUILTIN\Users ne doit pas apparaître dans la liste des autorisations

📦 Mise à Jour du Logiciel

Il est recommandé de mettre à jour NetBT e-Fatura vers la version 1.2.15 ou supérieure, qui inclut des correctifs natifs pour cette vulnérabilité.

Étapes de Mise à Jour

1. Téléchargez la dernière version depuis : https://net-bt.com.tr/e-fatura/
2. Effectuez une sauvegarde de la configuration actuelle
3. Exécutez l'installateur de mise à jour
4. Redémarrez le service InboxProcessor

📚 Références

• Enregistrement CVE : https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-14018
• CWE-428 : Unquoted Search Path or Element
• Fournisseur : NetBT Consulting Services Inc.
• Crédits : Seccops, Levent Sungu

✅ Checklist de Sécurité

• Mettre le chemin du service entre guillemets
• Supprimer les autorisations RW de BUILTIN\Users
• Vérifier que seuls Administrators et SYSTEM aient accès
• Mettre à jour NetBT e-Fatura vers v1.2.15+
• Redémarrer le service InboxProcessor
• Exécuter un audit de sécurité post-patch
• Documenter les modifications dans le journal des changements

⚠️ Avertissement de Sécurité

Cette vulnérabilité permet l'exécution arbitraire de code avec les privilèges de LocalSystem. Elle est considérée comme un risque critique dans les environnements de production. Appliquez les correctifs immédiatement.

Dernière mise à jour : 22/12/2025