GFI KerioConnect KOFF: Lokale Rechteausweitung zu SYSTEM durch schwache Installer-Berechtigungen

Zusammenfassung

Der Kerio Outlook Connector (Offline Edition), KOFF, von GFI KerioConnect vor 10.0.9 Patch 2 wird mit schwachen Verzeichnisberechtigungen installiert, die der integrierten Gruppe Users Schreibzugriff auf das Produktverzeichnis erlauben. Ein lokaler Benutzer ohne Administratorrechte kann die Dienstdatei searchd.exe des KOFFIndexingService, der als LocalSystem läuft, ersetzen und nach dem nächsten Dienststart oder Neustart beliebigen Code mit SYSTEM-Rechten ausführen. Angreifer benötigen ein lokales Konto auf einem Windows-Rechner mit installiertem KOFF; die Lücke ist nicht aus der Ferne ausnutzbar.

Betroffen

• GFI KerioConnect KOFF (Outlook Connector Offline Edition) in Versionen vor 10.0.9 Patch 2
• Betroffener Bereich laut CVE-Eintrag: 0 bis vor 10.0.9p2

Behoben in

• Aktualisierung auf GFI KerioConnect 10.0.9 Patch 2 (Build 10320, veröffentlicht am 29. Juni 2026), die die Dateisystemberechtigungen der KOFF-Installationsordner verstärkt
• Hinweis: Die Release Notes nennen die CVE nicht ausdrücklich; die Zuordnung stammt aus dem CVE-Eintrag und aggregierten Zusammenfassungen

Umgehung

• Schreibzugriff für normale Benutzer (Gruppe Users) auf das KOFF-Installationsverzeichnis entfernen; vorher testen, da der KOFF-Dienst betroffen sein kann
• Bis zum Patch lokale Anmeldungen auf betroffenen Rechnern nach Möglichkeit einschränken

Ausnutzung

• Kein öffentlicher Proof-of-Concept oder Exploit von VulDB und OffSeq gefunden; OffSeq meldet keine bekannte Ausnutzung
• Ein nicht verifizierter Threat-Intel-Eintrag führt die CVE als bestätigt ausgenutzt; dies wurde nicht verifiziert und ist in den geprüften Quellen nicht im CISA KEV enthalten
• EPSS zum Zeitpunkt der Analyse: 0.13 % (Perzentil 2)

Unsere Empfehlung

• Windows-Systeme mit installiertem Kerio Outlook Connector (Offline Edition) identifizieren, insbesondere Shared PCs, Terminalserver und RDS-Hosts
• KOFF-Client auf jedem betroffenen Rechner auf 10.0.9 Patch 2 oder neuer aktualisieren; die Korrektur liegt im Client-Installer, ein Server-Update allein genügt nicht
• Bis zur Aktualisierung Schreibrechte der Gruppe Users auf das KOFF-Verzeichnis entfernen und auf unerwartete Änderungen an searchd.exe achten
• Den Ausnutzungseintrag bei CIRCL Vulnerability-Lookup prüfen, bevor die Priorität erhöht wird; sonst Patch im regulären Zyklus einspielen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GFI KerioConnect Product Releases gfi.ai
• VulnCheck Advisory: GFI KerioConnect KOFF < 10.0.9p2 www.vulncheck.com
• VulDB entry 428013 vuldb.com
• Kerio Connect 10.0.9 p2 Release Notes support.kerioconnect.gfi.com
• OffSeq Radar: CVE-2026-112357 radar.offseq.com
• CVE-2026-112357 at cve.threatint.com cve.threatint.com
• Strix: CVE-2026-112357 www.strix.ai
• GitHub threat-intel digest 2026-10-30 (unverified entry) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:53.