CVE-2025-14018：NetBT e-Fatura 权限提升漏洞

📋 基本信息

参数	值
CVE ID	CVE-2025-14018
漏洞类型	本地权限提升（未引用的服务路径）
CWE	CWE-428
受影响产品	NetBT e-Fatura
受影响版本	< 1.2.15
漏洞利用作者	Seccops
发现日期	2025-10-03
测试操作系统	Microsoft Windows Server 2019 DC
风险等级	中等
所需访问权限	本地
远程利用	否

🔍 漏洞描述

此漏洞允许未授权的本地用户在系统上以提升的权限执行任意代码。NetBT e-Fatura 的 InboxProcessor 服务配置了未被引用的服务路径 (Unquoted Service Path)，这使得具有基本权限的攻击者能够将权限提升至 LocalSystem。

已识别的攻击向量

未引用的路径
- 当前路径：C:\inetpub\wwwroot\InboxProcessor\Netbt.Inbox.Process.exe
- 由于路径未加引号，系统会尝试执行：C:\inetpub\wwwroot\InboxProcessor.exe
- 攻击者可以在该中间路径放置恶意可执行文件
权限过高
- BUILTIN\Users 组拥有读写权限 (RW)
- 普通用户可以修改服务目录中的文件
以最高权限执行
- 该服务以 LocalSystem 权限运行
- 一旦权限提升成功，可获得系统完全控制权

📊 概念验证 (PoC)

检测到的易受攻击配置

C:\Users\efatura>sc qc InboxProcessor
[SC] QueryServiceConfig SUCCESS

SERVICE_NAME: InboxProcessor
        TYPE               : 10  WIN32_OWN_PROCESS
        START_TYPE         : 2   AUTO_START
        ERROR_CONTROL      : 1   NORMAL
        BINARY_PATH_NAME   : C:\inetpub\wwwroot\InboxProcessor\Netbt.Inbox.Process.exe
        LOAD_ORDER_GROUP   :
        TAG                : 0
        DISPLAY_NAME       : InboxProcessor
        DEPENDENCIES       :
        SERVICE_START_NAME : LocalSystem

权限分析

C:\Users\efatura\Desktop>accesschk.exe /accepteula -uwdq "C:\inetpub\wwwroot\InboxProcessor\"

Accesschk v6.15 - Reports effective permissions for securable objects
Copyright (C) 2006-2022 Mark Russinovich
Sysinternals - www.sysinternals.com

C:\inetpub\wwwroot\InboxProcessor
  RW BUILTIN\Users                    ⚠️ 严重
  RW NT SERVICE\TrustedInstaller
  RW NT AUTHORITY\SYSTEM
  RW BUILTIN\Administrators

🛠️ 解决方案与缓解措施

前提条件

拥有管理员权限
以管理员身份运行 PowerShell 终端

步骤 1：为服务路径添加引号

执行以下命令为可执行文件路径添加引号：

sc.exe config InboxProcessor binPath= "`"C:\inetpub\wwwroot\InboxProcessor\Netbt.Inbox.Process.exe`""

⚠️ 注意： binPath= 后面的空格是必需的。

步骤 2：限制文件夹权限

移除普通用户组的过多权限：

# 定义文件夹路径
$path = "C:\inetpub\wwwroot\InboxProcessor"

# 移除普通用户组的所有权限
icacls $path /remove "BUILTIN\Users" /t /c /l

# 确保管理员和系统保留完全控制权
icacls $path /grant "Administrators:(OI)(CI)F" /t
icacls $path /grant "SYSTEM:(OI)(CI)F" /t

参数说明：

/t：递归应用更改
/c：即使出现错误也继续执行
/l：对符号链接本身进行操作，而非其目标
(OI)(CI)F：继承权限并赋予完全控制权

步骤 3：最终验证

确认更改已正确应用：

# 验证路径现在已加引号
sc qc InboxProcessor

# 验证 BUILTIN\Users 不再拥有 RW 权限
accesschk.exe /accepteula -uwdq "C:\inetpub\wwwroot\InboxProcessor\"

预期结果：

BINARY_PATH_NAME 应显示在引号内
BUILTIN\Users 不应出现在权限列表中

📦 软件更新

建议将 NetBT e-Fatura 更新至 1.2.15 或更高版本，该版本包含对此漏洞的原生修复。

更新步骤

从 https://net-bt.com.tr/e-fatura/ 下载最新版本
备份当前配置
运行更新安装程序
重启 InboxProcessor 服务

📚 参考资源

CVE 记录： https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-14018
CWE-428： 未引用的搜索路径或元素
供应商： NetBT Consulting Services Inc.
致谢： Seccops, Levent Sungu

✅ 安全清单

为服务路径添加引号
移除 BUILTIN\Users 的读写权限
确认只有 Administrators 和 SYSTEM 有权访问
将 NetBT e-Fatura 更新至 v1.2.15+
重启 InboxProcessor 服务
执行补丁后安全审计
在变更日志中记录更改

⚠️ 安全警告

此漏洞允许以 LocalSystem 权限执行任意代码。在生产环境中被视为严重风险。请立即应用补丁。

最后更新： 22/12/2025

CVE-2025-14018

最受欢迎