CVE-2025-14018: NetBT e-Fatura 特権昇格の脆弱性

📋 一般情報

パラメータ	値
CVE ID	CVE-2025-14018
脆弱性の種類	ローカル特権昇格 (引用符なしサービスパス)
CWE	CWE-428
影響を受ける製品	NetBT e-Fatura
脆弱なバージョン	< 1.2.15
エクスプロイトの作者	Seccops
発見日	2025-10-03
テスト済みOS	Microsoft Windows Server 2019 DC
リスクレベル	中
必要なアクセス	ローカル
リモート	いいえ

🔍 脆弱性の説明

この脆弱性により、権限のないローカルユーザーがシステム上で昇格した特権で任意のコードを実行できる可能性があります。NetBT e-Fatura の InboxProcessor サービスは 引用符なしサービスパス (Unquoted Service Path) で構成されており、基本的な権限を持つ攻撃者が LocalSystem まで特権を昇格させることを可能にします。

特定された攻撃ベクトル

引用符なしパス
- 現在のパス: C:\inetpub\wwwroot\InboxProcessor\Netbt.Inbox.Process.exe
- 引用符がない場合、システムは次を実行しようとします: C:\inetpub\wwwroot\InboxProcessor.exe
- 攻撃者はその中間パスに悪意のある実行可能ファイルを配置できます。
過剰な権限
- BUILTIN\Users グループに読み取り/書き込み (RW) 権限があります
- 一般ユーザーはサービスのディレクトリ内のファイルを変更できます。
最大特権での実行
- サービスは LocalSystem として実行されます
- 昇格に成功するとシステムを完全に制御できます。

📊 概念実証 (PoC)

検出された脆弱な設定

C:\Users\efatura>sc qc InboxProcessor
[SC] QueryServiceConfig SUCCESS

SERVICE_NAME: InboxProcessor
        TYPE               : 10  WIN32_OWN_PROCESS
        START_TYPE         : 2   AUTO_START
        ERROR_CONTROL      : 1   NORMAL
        BINARY_PATH_NAME   : C:\inetpub\wwwroot\InboxProcessor\Netbt.Inbox.Process.exe
        LOAD_ORDER_GROUP   :
        TAG                : 0
        DISPLAY_NAME       : InboxProcessor
        DEPENDENCIES       :
        SERVICE_START_NAME : LocalSystem
### 権限分析

```powershell
C:\Users\efatura\Desktop>accesschk.exe /accepteula -uwdq "C:\inetpub\wwwroot\InboxProcessor\"

Accesschk v6.15 - Reports effective permissions for securable objects
Copyright (C) 2006-2022 Mark Russinovich
Sysinternals - www.sysinternals.com

C:\inetpub\wwwroot\InboxProcessor
  RW BUILTIN\Users                    ⚠️ CRÍTICO
  RW NT SERVICE\TrustedInstaller
  RW NT AUTHORITY\SYSTEM
  RW BUILTIN\Administrators

🛠️ 解決策と緩和策

前提条件

管理者権限でのアクセス
管理者として実行された PowerShell ターミナル

手順1: サービスパスを引用符で囲む

実行可能ファイルのパスに引用符を追加するには、次のコマンドを実行します:

sc.exe config InboxProcessor binPath= "`"C:\inetpub\wwwroot\InboxProcessor\Netbt.Inbox.Process.exe`""

⚠️ 注意: binPath= の後のスペースは必須です。

手順2: フォルダの権限を制限する

一般ユーザーグループの過剰な権限を削除します:

# Definir la ruta de la carpeta
$path = "C:\inetpub\wwwroot\InboxProcessor"

# Eliminar todos los permisos para el grupo de Usuarios comunes
icacls $path /remove "BUILTIN\Users" /t /c /l

# Asegurar que los Administradores y el Sistema mantengan el control total
icacls $path /grant "Administrators:(OI)(CI)F" /t
icacls $path /grant "SYSTEM:(OI)(CI)F" /t

パラメータの説明:

/t : 再帰的に変更を適用
/c : エラーが発生しても続行
/l : 宛先ではなくシンボリックリンクに対して操作
(OI)(CI)F : フルコントロールの権限継承

手順3: 最終確認

変更が正しく適用されたことを確認します:

# Verificar que la ruta ahora está entrecomillada
sc qc InboxProcessor

# Verificar que BUILTIN\Users ya no tiene permisos RW
accesschk.exe /accepteula -uwdq "C:\inetpub\wwwroot\InboxProcessor\"

期待される結果:

BINARY_PATH_NAME が引用符で囲まれていること
BUILTIN\Users が権限リストに表示されないこと

📦 ソフトウェアの更新

この脆弱性に対するネイティブな修正を含む NetBT e-Fatura バージョン 1.2.15 以上 への更新を推奨します。

更新手順

最新バージョンを次からダウンロード: https://net-bt.com.tr/e-fatura/
現在の設定のバックアップを取る
更新インストーラを実行する
InboxProcessor サービスを再起動する

📚 参考文献

CVE Record: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-14018
CWE-428: Unquoted Search Path or Element
Vendor: NetBT Consulting Services Inc.
クレジット: Seccops, Levent Sungu

✅ セキュリティチェックリスト

サービスパスを引用符で囲む
BUILTIN\Users のRW権限を削除
Administrators と SYSTEM のみがアクセスできることを確認
NetBT e-Fatura を v1.2.15+ に更新
InboxProcessor サービスを再起動
パッチ適用後のセキュリティ監査を実行
変更履歴に変更を文書化

⚠️ セキュリティ警告

この脆弱性により、LocalSystem 特権での任意のコード実行が可能になります。本番環境では重大なリスクと見なされます。直ちにパッチを適用してください。

最終更新日: 22/12/2025

CVE-2025-14018

人気