SecBoard
Zurück zur CVE-Übersicht

CVE-2026-6958

HIGH(7.8)

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score25/100 — MITTEL
  • CVSS 7.8 — Hoch

EPSS-Score

0.1%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

7.8

Technische Schwere

Beschreibung

Acunetix 25.11.251107123 for Windows contains a local privilege escalation vulnerability in the Web Vulnerability Scanning Engine (wvsc.exe) that allows low-privileged local attackers to execute arbitrary code as SYSTEM by exploiting a missing hardcoded directory path for OpenSSL-related files. Attackers can create the missing directory, place a malicious file at the expected path, and cause the SYSTEM-level wvsc.exe process to load and execute it, resulting in full privilege escalation.

Erkennung & Indikatoren

Ausnutzung

In den geprüften Quellen nicht genannt

Threat-Hunting-Queries

Diese Abfragen suchen nach der Erstellung von Verzeichnissen und Dateien im Pfad 'C:\builds\' durch einen nicht-SYSTEM-Benutzer, gefolgt vom Start von 'wvsc.exe'. Dies ist eine verhaltensbasierte Erkennung, die auf dem beschriebenen Angriffsvektor basiert und möglicherweise Fehlalarme erzeugt, wenn legitime Prozesse ähnliche Aktionen ausführen. Eine Anpassung an die spezifische Umgebung ist erford

Sentinel/Defender KQL

DeviceFileEvents
| where InitiatingProcessFileName != "wvsc.exe"
| where FileName contains "openssl.cnf" or FolderPath contains "C:\\builds\\"
| where ActionType == "FileCreated" or ActionType == "DirectoryCreated"
| join kind=inner (DeviceProcessEvents
    | where FileName == "wvsc.exe"
    | where InitiatingProcessAccountName != "NT AUTHORITY\\SYSTEM"
    | project ProcessId, DeviceId, Timestamp, InitiatingProcessAccountName
) on DeviceId
| where Timestamp between (ago(1h) .. now())
| project Timestamp, DeviceName, InitiatingProcessAccountName, FileName, FolderPath, ActionType, InitiatingProcessFileName

Splunk SPL

index=windows (EventCode=11 OR EventCode=12) (TargetFilename="*openssl.cnf" OR TargetFilePath="C:\\builds\\*") NOT (User="NT AUTHORITY\\SYSTEM")
| join type=inner (search index=windows EventCode=1 AND Image="*\\wvsc.exe" User="NT AUTHORITY\\SYSTEM")
| table _time, host, User, TargetFilename, TargetFilePath, Image

Sigma

title: Acunetix LPE via OpenSSL Config
author: SecBoard
date: 2026/09/04
modified: 2026/09/04
logsource:
  category: process_creation
  product: windows
detection:
  selection_create_dir:
    EventID: 11 # Sysmon Event ID for FileCreate
    TargetFilename|endswith: '\openssl.cnf'
    TargetFilename|contains: 'C:\builds\'
    User|!endswith: 'SYSTEM'
  selection_wvsc_exec:
    EventID: 1 # Sysmon Event ID for ProcessCreate
    Image|endswith: '\wvsc.exe'
    ParentImage|!endswith: '\wvsc.exe'
  condition: selection_create_dir and selection_wvsc_exec
  timeframe: 1h
level: high

Elastic ES|QL

FROM file_create
| WHERE file.path LIKE 'C:\\builds\\%openssl.cnf' AND user.name != 'NT AUTHORITY\\SYSTEM'
| JOIN (FROM process_start | WHERE process.executable LIKE '%\\wvsc.exe' AND user.name = 'NT AUTHORITY\\SYSTEM') ON host.id
| WHERE file_create.event.timestamp < process_start.event.timestamp AND process_start.event.timestamp - file_create.event.timestamp < DURATION '1 hour'
| SELECT file_create.event.timestamp, host.name, file_create.user.name, file_create.file.path, process_start.process.executable

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Indikatoren

Domains (5)

  • acunetix.com
  • olografix.org
  • seclists.org
  • nmap.org
  • vulncheck.com

Übernommen wurden nur Indikatoren, die wörtlich in einer Hersteller- oder Research-Quelle standen.

Referenzen