یک آسیب‌پذیری ارتقای سطح دسترسی (Privilege Escalation) در نرم‌افزار Rockwell Automation FactoryTalk Activation Manager شناسایی شده است که به مهاجمان محلی اجازه می‌دهد دسترسی‌های سیستمی را به دست آورند.
تحلیل فنی
یک مهاجم با سطح دسترسی پایین (Low-privileged) که دارای یک نشست تعاملی (Interactive Session) است، می‌تواند فرآیند تعمیر (Repair) نسخه‌های آسیب‌پذیر نرم‌افزار را از طریق یک فایل MSI موجود در مسیر C:WindowsInstaller آغاز کند. در طول این فرآیند، چندین پردازش با سطح دسترسی NT AUTHORITYSYSTEM اجرا می‌شوند.
برخی از این پردازش‌ها یک پنجره کنسول (Console Host Window) قابل مشاهده ایجاد می‌کنند که توسط مهاجم قابل ربایش (Hijack) است. سپس از طریق منوهای راست‌کلیک (Context Menus)، امکان اجرای یک مرورگر وب و در ادامه یک Command Prompt فراهم می‌شود که امتیازات ارتقایافته پردازش ربوده شده را به ارث می‌برد.
شرایط بهره‌برداری
- بهره‌برداری از این آسیب‌پذیری نیازمند استفاده از یک مرورگر وب است.
- نسخه‌های جدید مرورگرهای Internet Explorer و Microsoft Edge این مسیر را مسدود کرده‌اند و مانع از اجرای این حمله می‌شوند.
- برای اجرای موفق این اکسپلویت (Exploit)، نصب یک مرورگر شخص ثالث (مانند Google Chrome یا Mozilla Firefox) به صورت سیستمی (System-wide) ضروری است.
نسخه‌های آسیب‌پذیر
تمامی نسخه‌های Rockwell Automation FactoryTalk Activation Manager پیش از نسخه V5.03 در معرض این تهدید هستند.
