Mail Order

Il servizio di licenza Nalpeiron (NLSSRV32.exe) viene installato come parte di alcune installazioni software per gestire operazioni privilegiate di licenza software. È abbinato a un componente client (filechck.dll) che comunica con il servizio tramite mailslot (da qui il nome).

Le chiamate al servizio vengono eseguite utilizzando una serializzazione personalizzata e molte coinvolgono l'accesso diretto ai volumi disco collegati alla macchina. Credo che siano utilizzate per il controllo dell'integrità del servizio stesso e dei binari client. Molti di questi tipi di chiamata non sono riservati agli amministratori e pertanto possono essere utilizzati per leggere (e potenzialmente scrivere) dati grezzi da unità locali.

Non so quanto sia comune questo servizio. L'esempio più notevole è Nitro PDF <= v10. Nalperion si è poi spostata verso un modello di licenza basato su cloud e non sembra più raccomandare questo modello.

Utilizzo

Ho implementato solo una chiamata di lettura di base per la prova di concetto. Tuttavia, ci sono più codici di controllo che espongono ulteriori funzionalità. Funziona sull'unità principale quando il servizio è ospitato e legge un settore in incrementi di settore (512). Se si è motivati, leggere l'intero disco e ricreare le informazioni sul volume NTFS dovrebbe essere del tutto possibile. Un esercizio per il lettore, immagino.

PS C:\> MailOrder.exe c 4096

[+] Requesting sector from c: at offset 4096 ...
[+] Drive data [hex]:

45 46 49 20 50 41 52 54 00 00 01 00 5C 00 00 00 0D 24 5C 77 00 00 00 00 01 00 00 00 00 00 00 00
AF 6D 70 74 00 00 00 00 22 00 00 00 00 00 00 00 8E 6D 70 74 00 00 00 00 96 2F 01 83 CE 70 E7 41
...

Mitigazione / Esposizione

I due indicatori più forti di sfruttabilità sono:

• Servizio di licenza Nalpeiron in esecuzione:

PS C:\> Get-Service nlsX86cc

Status   Name               DisplayName
------   ----               -----------
Running  nlsX86cc           Nalpeiron Licensing Service

• Mailslot lato server per la comunicazione disponibile: \\.\mailslot\nlsX86ccMailslot

A parte disinstallare il servizio e/o il software per cui viene utilizzato, non conosco una mitigazione. La base dello sfruttamento è un ACL debole sul mailslot, ma credo sia necessario per la corretta comunicazione del lato client.

Divulgazione

Ho tentato di contattare il fornitore in più occasioni senza ricevere risposta. Se qualcuno di Nalpeiron desidera assistere con dettagli/rimedi, mi contatti pure.

• [11/16/19] : Contattato il fornitore via email chiedendo assistenza per la divulgazione
• [11/20/19] : Follow-up con il fornitore via email
• [11/26/19] : MITRE ha emesso CVE-2019-19315 per questa vulnerabilità