CVE-2017-20051: уязвимость неуправляемого пути поиска в InnoSetup Installer

В начале 2017 года в открытых источниках появилось сообщение об уязвимости в популярном инструменте для создания инсталляторов — InnoSetup Installer версии 5.5.9. Запись CVE-2017-20051 описывает дефект, связанный с некорректной обработкой пути поиска (uncontrolled search path). Особенность этой уязвимости в том, что она относится к классу self-extracting-installer defect и осталась без официального подтверждения со стороны вендора.

Подробности

Уязвимость затрагивает InnoSetup Installer 5.5.9. Согласно описанию, проблема связана с обработкой malformed-PE (искажённых Portable Executable) и приводит к неуправляемому пути поиска. Это означает, что при определённых условиях инсталлятор может загрузить вредоносную библиотеку или исполняемый файл из неконтролируемого каталога, что позволяет злоумышленнику выполнить произвольный код в контексте запускающего установку пользователя. Атака может быть выполнена удалённо — эксплойт уже опубликован и доступен широкой публике, что существенно повышает практический риск. Уязвимость получила оценку CVSS 5.3, что соответствует среднему уровню критичности. Столь умеренная оценка связана с тем, что для успешной эксплуатации обычно требуется взаимодействие пользователя либо специфические условия окружения. Отдельно стоит отметить, что вендор не подтвердил и не прокомментировал данную проблему. Это затрудняет оценку масштаба и означает, что официального патча для конкретной версии может не существовать.

Что делать

Поскольку вендор не выпустил официального признания проблемы, рекомендуется придерживаться следующих мер:

• Обновить InnoSetup до актуальной поддерживаемой версии, если это возможно, — более новые релизы содержат улучшения в обработке путей и загрузке модулей.
• Избегать запуска self-extracting-инсталляторов, созданных в InnoSetup 5.5.9, из недоверенных источников.
• Использовать инструменты контроля целостности и антивирусные решения с поведенческим анализом, отслеживающие подозрительную загрузку DLL.
• Применять принцип наименьших привилегий: не запускать установщики с правами администратора без необходимости.
• Ограничить пути поиска библиотек средствами ОС и контролировать каталоги, участвующие в загрузке модулей.

Итог: CVE-2017-20051 — умеренно опасная, но уже публично известная уязвимость в InnoSetup Installer 5.5.9, оставшаяся без реакции вендора. Пользователям и администраторам стоит отнестись к ней внимательно: своевременное обновление, осторожность с источниками инсталляторов и дополнительные средства защиты помогут снизить риск эксплуатации.

Источник: CVE Project (cvelistV5)