요약

제품 이름: Symantec Endpoint Protection Manager Version 14 (14 MP1) .2 build 1023 (14.2.1023.0100) - (이전 버전도 영향을 받을 수 있음)

영향: 높음. 표준 Windows 사용자(관리자가 아님)는 NT SERVICE\semwebsrv로 권한을 상승시킬 수 있습니다. 이 사용자 역할로 SEPM의 많은 구성 요소에 접근할 수 있으며, jsp, php 및 아마도 jar 파일을 변조할 수 있습니다. SEPM 전체를 장악하는 것이 가능해 보입니다. 게다가 SYSTEM으로의 추가 권한 상승도 가능합니다.

취약점 유형: DLL 사전 로딩

DLL: dbicudtx16.dll

영향을 받는 프로세스: php-cgi.exe

공격 벡터: 로컬

설명

사용자가 SEPM을 열고 로그인을 시도하면 php-cgi.exe 프로세스가 NT SERVICE\semwebsrv로 실행되며 여러 위치에서 dbicudtx16.dll을 로드하려고 시도합니다.

검색하는 디렉터리 중 하나는 C:\bin32 디렉터리입니다. 해당 디렉터리가 존재하지 않는 경우, 모든 사용자가 디렉터리를 만들고 악성 dbicudtx16.dll을 넣을 수 있습니다.

DLL은 다음에 누군가 SEPM에 로그인을 시도할 때 로드됩니다.

C:\bin32 디렉터리는 기본적으로 존재하지 않으며, 모든 사용자가 C:\ 아래에 폴더를 만들 수 있다는 점을 강조합니다.

PoC

다음 링크에서 전체 상세 동영상을 확인할 수 있습니다:

https://youtu.be/e_hbJ9NdIcg

동영상의 일부 시간 구간:

00:00 - 00:50 -> 식별

00:51 - 02:27 -> 공격자의 권한

02:28 - 03:05 -> 공격

03:06 - 03:50 -> 권한 상승 트리거

03:51 - 09:23 -> 몇 가지 공격 시나리오 제시