beleknarcisse169-cmd/cve-2025-26263GeoVision ASManager에서 메모리 덤프를 통한 자격 증명 노출을 입증하는 개념 증명으로, 무단 액세스 및 시스템 손상을 가능하게 합니다.
CVE-2025-26263 - GeoVision ASManager Windows 데스크톱 애플리케이션(버전 6.1.2.0 이하)은 ASManagerService.exe 프로세스의 부적절한 메모리 처리로 인해 자격 증명 노출에 취약합니다.
성공적인 공격을 수행하려면 공격자는 다음이 필요합니다:
이 취약점은 다음과 같은 무단 작업을 수행하는 데 악용될 수 있습니다:
메모리의 자격 증명 누출은 두 가지 방법으로 덤프하고 찾을 수 있습니다: • 소프트웨어에 최소 한 번 이상 인증된 계정; • 소프트웨어에 인증된 적이 없는 계정이지만, 공격자가 "비밀번호를 잊으셨나요?" 기능을 트리거하여 메모리 할당을 유발할 수 있는 경우;
애플리케이션은 시스템 시작 시 실행됩니다
시스템에 설치된 소프트웨어에서 계정이 최소 한 번 이상 인증된 경우 로컬 접근 권한이 있습니다:
소프트웨어에 최소 한 번 이상 인증된 계정:
사용자 이름 "test"와 사용자 이름에 추가된 관련 임의 문자열 "YuYRV6" 검색. 보이는 바와 같이 사용자 이름 test에 무작위 문자열 "YuYRV6"가 추가되었으며, 이를 사용하여 관련 비밀번호를 찾을 수 있습니다.
덤프된 메모리에서 "YuYRV6" 검색 - "test" 계정의 관련 비밀번호에 추가되어 있어야 합니다
"test" 계정의 비밀번호 덤프
"Test123!"이 test 계정의 비밀번호인 것으로 보입니다. 계정이 소프트웨어에 인증된 적이 없는 경우, 공격자는 "비밀번호를 잊으셨나요?" 기능을 트리거하여 메모리 할당을 유발한 다음 메모리에 누출된 자격 증명을 덤프할 수 있습니다: 소프트웨어에 인증된 적이 없는 계정이 있는 경우, "비밀번호를 잊으셨나요?" 기능을 사용하여 소프트웨어가 메모리에 데이터를 할당하도록 트리거할 수 있습니다:
Administrator 사용자에 대한 비밀번호 복구 기능 사용
소프트웨어가 비밀번호 복구 이메일을 보낼 수 없음
ASManagerService.exe에 할당된 메모리 덤프 및 "bstrpassword" 패턴으로 필터링
메모리에 누출된 Administrator 비밀번호
"StrongestPass@999"이 Administrator 계정의 비밀번호인 것으로 보입니다.
질문이 있으시면 LinkedIn에서 Giorgi Dograshvili에게 연락하실 수 있습니다.
