CVE-2025-14018

CVE-2025-14018: NetBT e-Fatura — уязвимость повышения привилегий

📋 Общая информация

🔍 Описание уязвимости

Эта уязвимость позволяет неавторизованному локальному пользователю выполнять произвольный код с повышенными привилегиями в системе. Служба InboxProcessor от NetBT e-Fatura настроена с путем без кавычек (Unquoted Service Path), что позволяет атакующему с базовыми разрешениями повысить привилегии до LocalSystem.

Идентифицированные векторы атаки

1. Путь без кавычек

   • Текущий путь: C:\inetpub\wwwroot\InboxProcessor\Netbt.Inbox.Process.exe
   • Без кавычек система пытается выполнить: C:\inetpub\wwwroot\InboxProcessor.exe
   • Атакующий может разместить вредоносный исполняемый файл в этом промежуточном пути

2. Избыточные разрешения

   • Группа BUILTIN\Users имеет разрешения на чтение и запись (RW)
   • Обычные пользователи могут изменять файлы в каталоге службы

3. Выполнение с максимальными привилегиями

   • Служба запускается как LocalSystem
   • Полный контроль над системой в случае успешного повышения

📊 Доказательство концепции (PoC)

Обнаружена уязвимая конфигурация

C:\Users\efatura>sc qc InboxProcessor
[SC] QueryServiceConfig SUCCESS

SERVICE_NAME: InboxProcessor
        TYPE               : 10  WIN32_OWN_PROCESS
        START_TYPE         : 2   AUTO_START
        ERROR_CONTROL      : 1   NORMAL
        BINARY_PATH_NAME   : C:\inetpub\wwwroot\InboxProcessor\Netbt.Inbox.Process.exe
        LOAD_ORDER_GROUP   :
        TAG                : 0
        DISPLAY_NAME       : InboxProcessor
        DEPENDENCIES       :
        SERVICE_START_NAME : LocalSystem
### Анализ разрешений

```powershell
C:\Users\efatura\Desktop>accesschk.exe /accepteula -uwdq "C:\inetpub\wwwroot\InboxProcessor\"

Accesschk v6.15 - Reports effective permissions for securable objects
Copyright (C) 2006-2022 Mark Russinovich
Sysinternals - www.sysinternals.com

C:\inetpub\wwwroot\InboxProcessor
  RW BUILTIN\Users                    ⚠️ КРИТИЧНО
  RW NT SERVICE\TrustedInstaller
  RW NT AUTHORITY\SYSTEM
  RW BUILTIN\Administrators

🛠️ Решение и смягчение

Предварительные требования

• Доступ с правами Администратора
• Терминал PowerShell, запущенный от имени Администратора

Шаг 1: Заключение пути службы в кавычки

Выполните следующую команду, чтобы добавить кавычки к пути исполняемого файла:

sc.exe config InboxProcessor binPath= "`"C:\inetpub\wwwroot\InboxProcessor\Netbt.Inbox.Process.exe`""

⚠️ Примечание: Пробел после binPath= является обязательным.

Шаг 2: Ограничение разрешений папки

Удалите избыточные разрешения для группы обычных пользователей:

# Определить путь к папке
$path = "C:\inetpub\wwwroot\InboxProcessor"

# Удалить все разрешения для группы Обычные пользователи
icacls $path /remove "BUILTIN\Users" /t /c /l

# Убедиться, что Администраторы и Система сохраняют полный доступ
icacls $path /grant "Administrators:(OI)(CI)F" /t
icacls $path /grant "SYSTEM:(OI)(CI)F" /t

Пояснение параметров:

• /t : Применяет изменения рекурсивно
• /c : Продолжает выполнение даже при наличии ошибок
• /l : Работает с символической ссылкой вместо цели
• (OI)(CI)F : Наследование разрешений с полным доступом

Шаг 3: Финальная проверка

Убедитесь, что изменения применены корректно:

# Проверить, что путь теперь заключен в кавычки
sc qc InboxProcessor

# Проверить, что BUILTIN\Users больше не имеет разрешений RW
accesschk.exe /accepteula -uwdq "C:\inetpub\wwwroot\InboxProcessor\"

Ожидаемый результат:

• BINARY_PATH_NAME должен быть в кавычках
• BUILTIN\Users не должен присутствовать в списке разрешений

📦 Обновление программного обеспечения

Рекомендуется обновить NetBT e-Fatura до версии 1.2.15 или выше, которая включает встроенные исправления для данной уязвимости.

Шаги обновления

1. Загрузить последнюю версию с: https://net-bt.com.tr/e-fatura/
2. Создать резервную копию текущей конфигурации
3. Запустить установщик обновления
4. Перезапустить службу InboxProcessor

📚 Ссылки

• Запись CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-14018
• CWE-428: Unquoted Search Path or Element
• Вендор: NetBT Consulting Services Inc.
• Благодарности: Seccops, Levent Sungu

✅ Контрольный список безопасности

• Заключить путь службы в кавычки
• Удалить разрешения RW для BUILTIN\Users
• Проверить, что доступ имеют только Administrators и SYSTEM
• Обновить NetBT e-Fatura до v1.2.15+
• Перезапустить службу InboxProcessor
• Провести аудит безопасности после установки патча
• Задокументировать изменения в журнале изменений

⚠️ Предупреждение безопасности

Данная уязвимость позволяет выполнять произвольный код с привилегиями LocalSystem. В производственных средах она считается критическим риском. Немедленно примените исправления.

Последнее обновление: 22/12/2025