ESET Service - 'Service ekrn' Unquoted Service Path

ESET Servisi Üzerinden Farklı Bir Program Çalıştırma Zafiyeti

---

Zafiyet Adı: ESET Service 16.0.26.0 - 'Service ekrn' Unquoted Service Path

Zafiyet Kodu: -

Zafiyet Kabiliyetleri: Yetkili bir servis üzerinden program çalıştırma ve NT AUTHORITY\SYSTEM ve/veya daha kritik kullanıcılar

Zafiyet Linki : ESET Service 16.0.26.0 - 'Service ekrn' Unquoted Service Path - Windows local Exploit (exploit-db.com)

Konu Yazarı : Ali Can Gönüllü

Zafiyet Açıklaması

---

Unquoted Service Path zafiyeti birkaç şekilde kullanılabilir,

• Servisin tetiklediği EXE dosyası yetkisiz bir kullanıcı üzerinde çalıştırılabilir durumda olabilir. Bu sayede yetkisiz kullanıcı servis üzerinden kendisine yetkilendirme yapabilir.
• Servisin tetiklediği Kayıt Defteri kaydı yetkisiz bir kullanıcı tarafından erişilebilir durumda olabilir.
• Servisin tetiklediği dosya ve/veya dizin yetkisiz bir kullanıcı tarafından erişilebilir olabilir.
• Servisin tetiklediği dosya konumundaki boşluklar algılanamamış olabilir.

Örneğin,

"C:\Program Files\Servis\Servis.exe" yerine C:\Program Files\Servis\Servis.exe olarak atanırsa Windows öncelikli olarak C:\Program.exe dosyasını arayacaktır. Eğer herhangi bir Program.exe dosyası varsa bu şekilde yetki yükseltme işlemi yapılabilir.

ESET zafiyetinde ise üçüncü seçenek geçerlidir. Ekrn.exe adlı ESET güvenlik yazılımının çekirdeği olan yazılım dosyası değiştirilebilir olarak ayarlanmıştır.

Zafiyetin Tespiti

---

Zafiyetin tespiti için CMD yetkili olarak açılmalıdır ve aşağıdaki komut girilmelidir.

sc qc ekrn komutu ile Query Service Config sorgusu yapıldı ve servisin normal bir kullanıcı ile ulaşılamaması gereken klasörlerine ve/veya yetkilerine ulaşılabilmektedir.

C:\>sc qc ekrn
[SC] QueryServiceConfig SUCCESS

SERVICE_NAME: ekrn
        TYPE               : 20  WIN32_SHARE_PROCESS
        START_TYPE         : 2   AUTO_START
        ERROR_CONTROL      : 1   NORMAL
        BINARY_PATH_NAME   : "C:\Program Files\ESET\ESET Security\ekrn.exe"
        LOAD_ORDER_GROUP   : Base
        TAG                : 0
        DISPLAY_NAME       : ESET Service
        DEPENDENCIES       :
        SERVICE_START_NAME : LocalSystem

Zafiyetin Çözümü

---

• ESET Servislerine yetkisiz kullanıcıların ulaşımı kısıtlanmalıdır ve/veya ESET sürümleri güncellenmelidir.