CVE-2025-14018

CVE-2025-14018: Vulnerabilidade de Escalação de Privilégio no NetBT e-Fatura

📋 Informações Gerais

🔍 Descrição da Vulnerabilidade

Esta vulnerabilidade permite que um usuário local não autorizado execute código arbitrário com privilégios elevados no sistema. O serviço InboxProcessor do NetBT e-Fatura está configurado com um caminho não entre aspas (Unquoted Service Path), o que permite que um atacante com permissões básicas escale privilégios até LocalSystem.

Vetores de Ataque Identificados

1. Caminho Não Entre Aspas

   • Caminho atual: C:\inetpub\wwwroot\InboxProcessor\Netbt.Inbox.Process.exe
   • Sem aspas, o sistema tenta executar: C:\inetpub\wwwroot\InboxProcessor.exe
   • Um atacante pode colocar um executável malicioso nesse caminho intermediário

2. Permissões Excessivas

   • O grupo BUILTIN\Users tem permissões de leitura e escrita (RW)
   • Usuários comuns podem modificar arquivos no diretório do serviço

3. Execução com Privilégios Máximos

   • O serviço é executado como LocalSystem
   • Controle total do sistema se a escalada for bem-sucedida

📊 Prova de Conceito (PoC)

Configuração Vulnerável Detectada

C:\Users\efatura>sc qc InboxProcessor
[SC] QueryServiceConfig SUCCESS

SERVICE_NAME: InboxProcessor
        TYPE               : 10  WIN32_OWN_PROCESS
        START_TYPE         : 2   AUTO_START
        ERROR_CONTROL      : 1   NORMAL
        BINARY_PATH_NAME   : C:\inetpub\wwwroot\InboxProcessor\Netbt.Inbox.Process.exe
        LOAD_ORDER_GROUP   :
        TAG                : 0
        DISPLAY_NAME       : InboxProcessor
        DEPENDENCIES       :
        SERVICE_START_NAME : LocalSystem
### Análise de Permissões

```powershell
C:\Users\efatura\Desktop>accesschk.exe /accepteula -uwdq "C:\inetpub\wwwroot\InboxProcessor\"

Accesschk v6.15 - Reports effective permissions for securable objects
Copyright (C) 2006-2022 Mark Russinovich
Sysinternals - www.sysinternals.com

C:\inetpub\wwwroot\InboxProcessor
  RW BUILTIN\Users                    ⚠️ CRÍTICO
  RW NT SERVICE\TrustedInstaller
  RW NT AUTHORITY\SYSTEM
  RW BUILTIN\Administrators

🛠️ Solução e Mitigação

Requisitos Prévios

• Acesso com privilégios de Administrador
• Terminal do PowerShell executado como Administrador

Passo 1: Colocar a Rota do Serviço Entre Aspas

Execute o seguinte comando para adicionar aspas ao caminho do executável:

sc.exe config InboxProcessor binPath= "`"C:\inetpub\wwwroot\InboxProcessor\Netbt.Inbox.Process.exe`""

⚠️ Nota: O espaço após binPath= é obrigatório.

Passo 2: Restringir Permissões da Pasta

Remova as permissões excessivas do grupo de usuários comuns:

# Definir o caminho da pasta
$path = "C:\inetpub\wwwroot\InboxProcessor"

# Remover todas as permissões para o grupo de Usuários comuns
icacls $path /remove "BUILTIN\Users" /t /c /l

# Garantir que Administradores e Sistema mantenham o controle total
icacls $path /grant "Administrators:(OI)(CI)F" /t
icacls $path /grant "SYSTEM:(OI)(CI)F" /t

Explicação dos parâmetros:

• /t : Aplica alterações recursivamente
• /c : Continua mesmo se houver erros
• /l : Trabalha no link simbólico em vez do destino
• (OI)(CI)F : Herança de permissões com controle total

Passo 3: Verificação Final

Confirme que as alterações foram aplicadas corretamente:

# Verificar que o caminho agora está entre aspas
sc qc InboxProcessor

# Verificar que BUILTIN\Users não tem mais permissões RW
accesschk.exe /accepteula -uwdq "C:\inetpub\wwwroot\InboxProcessor\"

Resultado esperado:

• BINARY_PATH_NAME deve aparecer entre aspas
• BUILTIN\Users não deve aparecer na lista de permissões

📦 Atualização de Software

Recomenda-se atualizar o NetBT e-Fatura para a versão 1.2.15 ou superior, que inclui correções nativas para esta vulnerabilidade.

Passos de Atualização

1. Baixar a versão mais recente em: https://net-bt.com.tr/e-fatura/
2. Fazer backup da configuração atual
3. Executar o instalador de atualização
4. Reiniciar o serviço InboxProcessor

📚 Referências

• CVE Record: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-14018
• CWE-428: Unquoted Search Path or Element
• Vendor: NetBT Consulting Services Inc.
• Créditos: Seccops, Levent Sungu

✅ Checklist de Segurança

• Colocar a rota do serviço entre aspas
• Remover permissões RW de BUILTIN\Users
• Verificar que somente Administrators e SYSTEM tenham acesso
• Atualizar NetBT e-Fatura para v1.2.15+
• Reiniciar o serviço InboxProcessor
• Executar auditoria de segurança pós-patch
• Documentar alterações no registro de mudanças

⚠️ Advertência de Segurança

Esta vulnerabilidade permite a execução arbitrária de código com privilégios de LocalSystem. Considera-se um risco crítico em ambientes de produção. Aplique os patches imediatamente.

Última atualização: 22/12/2025