CVE-2022-36344

Unquoted search path w JustSystems JUST Online Update — eskalacja uprawnień

CVSS 9.8v3.1pub. 2022-08-16upd. 2024-11-21

Komponent 'JustSystems JUST Online Update for J-License', dołączany do wielu produktów firmy JustSystems przeznaczonych dla klientów korporacyjnych, zawiera podatność typu unquoted search path. Luka umożliwia nieuwierzytelnionemu atakującemu wykonanie złośliwego pliku z uprawnieniami usługi Windows.

▸ Pokaż oryginał (EN)

An unquoted search path vulnerability exists in 'JustSystems JUST Online Update for J-License' bundled with multiple products for corporate users as in Ichitaro through Pro5 and others. Since the affected product starts another program with an unquoted file path, a malicious file may be executed with the privilege of the Windows service if it is placed in a certain path. Affected products are bundled with the following product series: Office and Office Integrated Software, ATOK, Hanako, JUST PDF, Shuriken, Homepage Builder, JUST School, JUST Smile Class, JUST Smile, JUST Frontier, JUST Jump, and Tri-De DetaProtect.

🤖 Analiza AI

Jak działa

Podatność (CWE-428) wynika z tego, że usługa Windows uruchamia inny program, podając ścieżkę do pliku wykonywalnego bez cudzysłowów. W systemach Windows interpreter poleceń w takiej sytuacji próbuje odnaleźć plik według kolejnych segmentów ścieżki zawierającej spacje. Jeśli atakujący umieści złośliwy plik wykonywalny w odpowiednim katalogu na dysku (do którego ma uprawnienia zapisu), system może go uruchomić zamiast właściwego programu. Złośliwy plik zostaje wówczas wykonany z poziomem uprawnień usługi Windows, co w praktyce często oznacza uprawnienia SYSTEM.

Skutki

Atakujący może wykonać dowolny kod z podwyższonymi uprawnieniami usługi Windows, co prowadzi do pełnego przejęcia kontroli nad systemem operacyjnym — w tym do utraty poufności, integralności i dostępności danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.justsystems.com/jp/corporate/info/js22001.html). Jako dodatkowe zabezpieczenie warto ograniczyć prawa zapisu użytkowników do katalogów systemowych, w których mogłyby zostać umieszczone złośliwe pliki wykonywalne.

Kogo dotyczy

Komponent 'JustSystems JUST Online Update for J-License' dołączany do produktów z następujących serii: Office and Office Integrated Software, ATOK (w tym Atok Medical 2, Atok Medical 3, Atok Pro 3, Atok Pro 4, Atok Pro 5), Hanako, JUST PDF, Shuriken, Homepage Builder, JUST School, JUST Smile Class, JUST Smile, JUST Frontier, JUST Jump oraz Tri-De DetaProtect — wszystkie wersje dla klientów korporacyjnych (J-License), w tym Ichitaro through Pro5 i inne.

Uwagi

Podatność dotyczy wyłącznie środowisk Windows. Informacja o podatności opublikowana została przez japońskie centrum JPCERT/CC pod identyfikatorem JVN#57073973.