📄 الوصف (الإنجليزية)
Input Director 1.4.3 contains an unquoted service path vulnerability in its Windows service configuration that allows local attackers to execute code with elevated privileges. Attackers can exploit the unquoted path during system startup or reboot to inject and run malicious executables with LocalSystem permissions.
🤖 ملخص AI
CVE-2020-36990 is a privilege escalation vulnerability in Input Director 1.4.3 affecting Windows systems through an unquoted service path. Local attackers can inject malicious executables during system startup to achieve code execution with LocalSystem privileges. While no public exploit is available, the vulnerability poses significant risk to organizations using this software, particularly in environments with multiple local users or where physical access controls are weak.
📄 الوصف (العربية)
🤖 التحليل الذكي آخر تحليل: Apr 27, 2026 12:50
🇸🇦 التأثير على المملكة العربية السعودية
This vulnerability primarily impacts Saudi government agencies, financial institutions, and enterprises using Input Director for remote desktop management or KVM switching. Banking sector (SAMA-regulated entities) and government agencies (NCA oversight) face elevated risk if Input Director is deployed on critical infrastructure. Telecom operators (STC, Mobily) and energy sector organizations using this software for system administration are also at risk. The LocalSystem privilege escalation could lead to complete system compromise, data exfiltration, and lateral movement within critical networks.
🏢 القطاعات السعودية المتأثرة
Banking and Financial Services
Government and Public Administration
Healthcare
Energy and Utilities
Telecommunications
Manufacturing
Enterprise IT Infrastructure
🎯 تقنيات MITRE ATT&CK
T1547.001 - Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder
T1547.011 - Boot or Logon Autostart Execution: Plist Modification
T1134.003 - Access Token Manipulation: Make and Impersonate Token
T1548.004 - Abuse Elevation Control Mechanism: Elevated Execution with Prompt
T1574.008 - Hijack Execution Flow: Search Order Hijacking
T1036.003 - Masquerading: Rename System Utilities
T1543.003 - Create or Modify System Process: Windows Service
⚖️ درجة المخاطر السعودية (AI)
7.2
/ 10.0
🔧 Remediation Steps (English)
1. IMMEDIATE ACTIONS:
- Identify all systems running Input Director 1.4.3 across the organization
- Restrict local user access to systems running vulnerable versions
- Implement physical access controls to prevent unauthorized local access
- Monitor system startup logs for suspicious executable creation in service paths
2. PATCHING GUIDANCE:
- Upgrade Input Director to version 1.4.4 or later immediately
- Prioritize patching on systems with multiple local user accounts
- Test patches in non-production environment before enterprise deployment
- Schedule patching during maintenance windows with system restart
3. COMPENSATING CONTROLS (if immediate patching not possible):
- Disable Input Director service if not actively required
- Implement AppLocker or Windows Defender Application Control to restrict executable execution in service paths
- Use Group Policy to enforce strict file permissions on service directories
- Deploy Host-based Intrusion Detection System (HIDS) to monitor service path modifications
4. DETECTION RULES:
- Monitor Windows Event Log for service path modifications (Event ID 7045)
- Alert on executable creation in %SYSTEMROOT%\System32 or service-related directories during non-maintenance windows
- Track registry changes to HKLM\SYSTEM\CurrentControlSet\Services\InputDirector
- Monitor process creation with parent process as svchost.exe with suspicious command lines
🔧 خطوات المعالجة (العربية)
1. الإجراءات الفورية:
- تحديد جميع الأنظمة التي تقوم بتشغيل Input Director 1.4.3 في المنظمة
- تقييد وصول المستخدم المحلي إلى الأنظمة التي تقوم بتشغيل الإصدارات الضعيفة
- تنفيذ ضوابط الوصول المادي لمنع الوصول المحلي غير المصرح به
- مراقبة سجلات بدء التشغيل للكشف عن إنشاء ملفات تنفيذية مريبة في مسارات الخدمة
2. إرشادات التصحيح:
- ترقية Input Director إلى الإصدار 1.4.4 أو أحدث على الفور
- إعطاء الأولوية لتصحيح الأنظمة التي تحتوي على حسابات مستخدمين محليين متعددة
- اختبار التصحيحات في بيئة غير الإنتاج قبل نشر المؤسسة
- جدولة التصحيح أثناء نوافذ الصيانة مع إعادة تشغيل النظام
3. الضوابط البديلة (إذا لم يكن التصحيح الفوري ممكناً):
- تعطيل خدمة Input Director إذا لم تكن مطلوبة بنشاط
- تنفيذ AppLocker أو Windows Defender Application Control لتقييد تنفيذ الملفات التنفيذية في مسارات الخدمة
- استخدام Group Policy لفرض أذونات ملفات صارمة على دلائل الخدمة
- نشر نظام الكشف عن الاختراقات المستند إلى المضيف (HIDS) لمراقبة تعديلات مسار الخدمة
4. قواعد الكشف:
- مراقبة سجل أحداث Windows لتعديلات مسار الخدمة (معرف الحدث 7045)
- تنبيه عند إنشاء ملف تنفيذي في %SYSTEMROOT%\System32 أو الدلائل المتعلقة بالخدمة خلال نوافذ غير الصيانة
- تتبع تغييرات السجل إلى HKLM\SYSTEM\CurrentControlSet\Services\InputDirector
- مراقبة إنشاء العملية مع عملية الوالد كـ svchost.exe مع سطور أوامر مريبة
📋 خريطة الامتثال التنظيمي
🟢 NCA ECC 2024
ECC 2024 A.5.1.1 - Access Control Policies (local user access restrictions)
ECC 2024 A.8.1.1 - Asset Management (inventory of vulnerable systems)
ECC 2024 A.12.2.1 - Change Management (patch deployment procedures)
ECC 2024 A.12.4.1 - Event Logging (monitoring service modifications)
🔵 SAMA CSF
SAMA CSF ID.AM-1 - Asset Management (identify systems running Input Director)
SAMA CSF PR.AC-1 - Access Control (restrict local user privileges)
SAMA CSF PR.PT-2 - Protection Processes (patch management)
SAMA CSF DE.CM-1 - Detection and Analysis (monitor for exploitation attempts)
🟡 ISO 27001:2022
ISO 27001:2022 A.5.1 - Policies for information security (access control policy)
ISO 27001:2022 A.8.1 - Asset management (inventory and classification)
ISO 27001:2022 A.8.2 - Information classification (system criticality assessment)
ISO 27001:2022 A.12.6 - Change management (patch management procedures)
ISO 27001:2022 A.12.4 - Logging (event logging and monitoring)
🟣 PCI DSS v4.0.1
PCI DSS 2.2 - Configuration standards (remove unnecessary services)
PCI DSS 6.2 - Security patches (timely patching of systems)
PCI DSS 10.2 - Logging and monitoring (track administrative actions)