Rechtenescalatie: hoe een gebruiker of aanvaller stiekem de baas wordt over een systeem
Stel je voor: je checkt in bij een hotel en krijgt een sleutelkaart die alleen je eigen kamer opent. Rechtenescalatie is te vergelijken met iemand die een manier vindt om diezelfde kaart te laten werken op alle kamers, de personeelsruimtes en uiteindelijk de kluis van de receptie. In de digitale wereld gaat het om software of een gebruiker die begint met beperkte toegangsrechten op een computer of netwerk, en vervolgens - via een fout in het systeem - meer macht krijgt dan de bedoeling was.
Het is een van de oudste en meest gebruikte technieken in de computerbeveiliging, en tegelijk een van de gevaarlijkste. Een aanvaller die eenmaal binnen is via bijvoorbeeld een phishingmail, heeft meestal maar beperkte rechten: die van een gewone medewerker. Pas door rechtenescalatie kan diezelfde aanvaller beheerder worden, bestanden van andere gebruikers lezen, beveiligingssoftware uitschakelen of zich over het hele netwerk verspreiden. Daarom staat het begrip centraal in vrijwel elk beveiligingsincident dat het nieuws haalt, van ransomware-aanvallen tot spionagecampagnes.
Wat is het precies?
Elk computersysteem werkt met een stelsel van rechten: wie mag welke bestanden lezen, programma's installeren of instellingen wijzigen. Een gewone gebruiker mag doorgaans niet zomaar het besturingssysteem aanpassen; dat is voorbehouden aan een beheerder (in Windows "Administrator", in Linux "root" genoemd). Dat onderscheid bestaat om schade te beperken: als een gewoon account wordt gehackt, kan de schade beperkt blijven tot dat ene account.
Bij rechtenescalatie wordt die scheiding doorbroken. Onderzoekers maken meestal onderscheid tussen twee vormen. Bij verticale escalatie klimt iemand letterlijk omhoog in het rechtenstelsel: van gewone gebruiker naar beheerder, of van beheerder naar het diepste niveau van het besturingssysteem (de "kernel", het kernprogramma dat alle hardware aanstuurt). Bij horizontale escalatie blijft het rechtenniveau gelijk, maar krijgt iemand toegang tot de gegevens van een ander account op datzelfde niveau - bijvoorbeeld het bankaccount van een andere klant binnen dezelfde webapplicatie.
De technische oorzaken lopen uiteen. Vaak gaat het om programmeerfouten, zoals een "buffer overflow" (een programma dat meer gegevens in een geheugenruimte toelaat dan past, waardoor een aanvaller eigen code kan laten uitvoeren) of een "race condition" (een fout die ontstaat doordat twee processen op net het verkeerde moment na elkaar iets doen, waardoor een beveiligingscontrole wordt omzeild). Even vaak is de oorzaak simpeler: een verkeerd ingestelde configuratie, een wachtwoord dat overal hetzelfde is, of software die per ongeluk met te veel rechten draait. In cloudomgevingen en containersystemen zoals Kubernetes komt daar nog een laag bovenop: verkeerd ingestelde toegangsregels (RBAC, "role-based access control") geven soms per ongeluk een dienst toegang tot veel meer dan nodig is.
Wat wil men ermee bereiken?
Voor een aanvaller is rechtenescalatie zelden het einddoel, maar bijna altijd een tussenstap. Met verhoogde rechten kan iemand beveiligingssoftware uitschakelen, sporen wissen, zich permanent nestelen in een systeem ("persistentie") en zich vervolgens zijwaarts door een netwerk bewegen om andere machines te bereiken - een proces dat aanvalsraamwerken als "lateral movement" noemen. Bij ransomware-aanvallen is beheerdersniveau vaak een voorwaarde om back-ups te wissen en alle bestanden tegelijk te versleutelen.
Voor verdedigers en onderzoekers is het bestuderen van rechtenescalatie juist bedoeld om dit te voorkomen. Het uitgangspunt heet "least privilege" (minimale rechten): elk account, proces of dienst zou alleen de rechten moeten krijgen die strikt nodig zijn, niet meer. Door te begrijpen hoe escalatie in de praktijk werkt, kunnen softwaremakers hun code beter beveiligen, kunnen beheerders configuraties aanscherpen, en kunnen detectiesystemen leren herkennen wanneer een account plotseling ongebruikelijke rechten opeist.
Voorbeelden uit de praktijk
Dirty COW (CVE-2016-5195, 2016) was een kwetsbaarheid in de Linux-kernel die al negen jaar onopgemerkt bleef. Door een race condition in het geheugenbeheer kon een gewone gebruiker schrijfrechten krijgen op bestanden die eigenlijk alleen-lezen waren, en zo uiteindelijk root-rechten verkrijgen. De kwetsbaarheid trof miljoenen Linux-servers en Android-telefoons.
PrintNightmare (CVE-2021-34527, 2021) zat in de Windows Print Spooler-service, die standaard op vrijwel elke Windows-computer actief is. Een fout in de manier waarop printerdrivers werden geïnstalleerd, stelde aanvallers in staat om met de hoogste systeemrechten code uit te voeren. Microsoft moest meerdere keren patches uitbrengen omdat eerdere reparaties omzeild konden worden.
Baron Samedit (CVE-2021-3156, 2021) was een kwetsbaarheid in "sudo", het commando waarmee Linux- en macOS-gebruikers tijdelijk verhoogde rechten krijgen. Een bufferoverloop maakte het mogelijk voor een gewone lokale gebruiker om zonder wachtwoord root-rechten te bemachtigen - een fout die meer dan tien jaar in de broncode had gestaan.
Stuxnet (ontdekt in 2010), de beroemde malware die Iraanse verrijkingscentrifuges saboteerde, gebruikte meerdere onbekende kwetsbaarheden ("zero-days") om zowel in Windows als in industriële besturingssystemen rechten te escaleren, wat destijds liet zien hoe krachtig deze techniek kan zijn wanneer die met andere aanvalstechnieken wordt gecombineerd.
De SolarWinds/Nobelium-inbraak (aan het licht gekomen eind 2020) toonde hoe geavanceerde, vermoedelijk statelijke aanvallers rechtenescalatie inzetten binnen cloudomgevingen zoals Microsoft Azure Active Directory, om via vertrouwensrelaties tussen systemen alsnog beheerderstoegang te krijgen zonder dat daar een klassieke softwarefout aan te pas kwam.
Hoe ver is de techniek?
Rechtenescalatie is geen technologie die "af" raakt of ergens naartoe rijpt, zoals bijvoorbeeld zelfrijdende auto's; het is een voortdurende wapenwedloop tussen aanvallers en verdedigers die zolang software bestaat, zal blijven bestaan. Elk jaar worden honderden nieuwe escalatiekwetsbaarheden geregistreerd in openbare databases. Het beveiligingsraamwerk MITRE ATT&CK, een veelgebruikt naslagwerk dat aanvalstechnieken catalogiseert, wijdt er een volledige categorie aan (tactiek TA0004), met tientallen subtechnieken.
De verdediging is wel merkbaar volwassener geworden. Moderne besturingssystemen bevatten steeds meer ingebouwde beperkingen, zoals verplichte ondertekening van kernel-code en strengere scheiding tussen gebruikersrechten. "Endpoint detection and response"-software (EDR) probeert verdachte pogingen tot rechtenescalatie in real time te herkennen, en het "zero trust"-principe - waarbij geen enkel systeemonderdeel automatisch wordt vertrouwd, ook niet binnen het eigen netwerk - wordt breed ingevoerd om de schade van een geslaagde escalatie te beperken.
Toch blijft het een van de meest voorkomende stappen in geslaagde aanvallen, juist omdat de aanvalsoppervlakte blijft groeien: meer cloud-diensten, meer containers, meer onderling verbonden systemen betekenen meer configuraties die fout kunnen gaan. Onbekende kwetsbaarheden (zero-days) blijven per definitie een blinde vlek, en patches komen soms pas maanden na ontdekking beschikbaar - in de tussentijd blijven systemen kwetsbaar.
Wie werken eraan?
MITRE, een Amerikaanse non-profitorganisatie, beheert zowel het ATT&CK-raamwerk als het CVE-programma waarin kwetsbaarheden wereldwijd worden geregistreerd. Het Amerikaanse NIST beheert de bijbehorende National Vulnerability Database, waarin de ernst van elke kwetsbaarheid wordt beoordeeld.
Softwaremakers als Microsoft (via het Microsoft Security Response Center), Google (via Project Zero, dat actief jaagt op onbekende kwetsbaarheden in veelgebruikte software) en de ontwikkelaars van de Linux-kernel onderhouden eigen beveiligingsteams die kwetsbaarheden opsporen en patchen. Commerciële beveiligingsbedrijven zoals CrowdStrike, Mandiant (onderdeel van Google) en Palo Alto Networks onderzoeken hoe deze technieken in het wild worden misbruikt en bouwen detectiesoftware.
Op academisch vlak doen onderzoeksgroepen aan onder meer de TU Delft, het Duitse CISPA Helmholtz Center for Information Security en de Ruhr-Universität Bochum fundamenteel onderzoek naar systeembeveiliging. Nationale instanties zoals het Nederlandse NCSC (Nationaal Cyber Security Centrum) vertalen deze kennis naar praktische waarschuwingen en richtlijnen voor organisaties, terwijl non-profitorganisatie OWASP zich vooral richt op kwetsbaarheden in webapplicaties, waaronder horizontale rechtenescalatie.