Nalpeiron Licensing Service (NLSSRV32.exe) は、特定のソフトウェアインストールの一部として導入され、特権的なソフトウェアライセンス操作を処理します。このサービスはクライアントコンポーネント (filechck.dll) とペアになっており、クライアントはメールスロット経由でサービスと通信します（これが名前の由来です）。
サービスへの呼び出しはカスタムシリアライゼーションを使用して実行され、その多くはマシンに接続されたディスクボリュームへの直接アクセスを伴います。これらはサービス自体やクライアントバイナリの整合性チェックに使用されていると考えられます。これらの呼び出しタイプの多くは管理者に制限されておらず、そのためローカルドライブから生データを読み取る（そして場合によっては書き込む）ために使用される可能性があります。
このサービスがどの程度一般的かはわかりません。最も顕著な例は Nitro PDF <= v10 です。Nalpeiron はその後クラウドベースのライセンスモデルに移行しており、このモデルを推奨していないようです。
概念実証として基本的な読み取り呼び出しのみを実装しています。ただし、さらに多くの機能を公開する制御コードが存在します。このツールは、サービスがホストされている場合にプライマリドライブに対して機能し、セクター（512バイト）単位でセクターを読み取ります。やる気があれば、ディスク全体を読み取り、NTFS ボリューム情報を再作成することも十分可能です。読者への課題といったところでしょうか。
PS C:\> MailOrder.exe c 4096
[+] Requesting sector from c: at offset 4096 ...
[+] Drive data [hex]:
45 46 49 20 50 41 52 54 00 00 01 00 5C 00 00 00 0D 24 5C 77 00 00 00 00 01 00 00 00 00 00 00 00
AF 6D 70 74 00 00 00 00 22 00 00 00 00 00 00 00 8E 6D 70 74 00 00 00 00 96 2F 01 83 CE 70 E7 41
...
悪用可能性を示す最も強力な指標は次の2つです：
PS C:\> Get-Service nlsX86cc
Status Name DisplayName
------ ---- -----------
Running nlsX86cc Nalpeiron Licensing Service
\\.\mailslot\nlsX86ccMailslotサービスおよびそのソフトウェアをアンインストールする以外に、緩和策は不明です。悪用可能性の基本はメールスロットの弱い ACL ですが、クライアント側が適切に通信するためには必要だと考えられます。
ベンダーに複数回連絡を試みましたが、返答はありませんでした。Nalpeiron の関係者で詳細・修正対応にご協力いただける方は、ご連絡ください。
CVE-2019-19315 を発行