CVE-2025-14018: NetBT e-Fatura 권한 상승 취약점

📋 일반 정보

매개변수	값
CVE ID	CVE-2025-14018
취약점 유형	로컬 권한 상승 (따옴표 없는 서비스 경로, Unquoted Service Path)
CWE	CWE-428
영향받는 제품	NetBT e-Fatura
취약한 버전	< 1.2.15
익스플로잇 작성자	Seccops
발견 날짜	2025-10-03
테스트된 OS	Microsoft Windows Server 2019 DC
위험 수준	중간(Médium)
필요한 접근 권한	로컬(Local)
원격	아니요

🔍 취약점 설명

이 취약점을 통해 권한이 없는 로컬 사용자가 시스템에서 상승된 권한으로 임의 코드를 실행할 수 있습니다. NetBT e-Fatura의 InboxProcessor 서비스가 따옴표 없는 서비스 경로(Unquoted Service Path) 로 구성되어 있어, 기본 권한만 가진 공격자도 LocalSystem 권한까지 상승시킬 수 있습니다.

확인된 공격 벡터

따옴표 없는 경로
- 현재 경로: C:\inetpub\wwwroot\InboxProcessor\Netbt.Inbox.Process.exe
- 따옴표가 없으면 시스템은 C:\inetpub\wwwroot\InboxProcessor.exe 실행을 시도합니다.
- 공격자는 해당 중간 경로에 악성 실행 파일을 배치할 수 있습니다.
과도한 권한
- BUILTIN\Users 그룹에 읽기 및 쓰기(RW) 권한이 부여되어 있습니다.
- 일반 사용자가 서비스 디렉터리의 파일을 수정할 수 있습니다.
최고 권한으로 실행
- 서비스가 LocalSystem으로 실행됩니다.
- 권한 상승에 성공하면 시스템 전체를 제어할 수 있습니다.

📊 개념 증명 (PoC)

확인된 취약한 구성

C:\Users\efatura>sc qc InboxProcessor
[SC] QueryServiceConfig SUCCESS

SERVICE_NAME: InboxProcessor
        TYPE               : 10  WIN32_OWN_PROCESS
        START_TYPE         : 2   AUTO_START
        ERROR_CONTROL      : 1   NORMAL
        BINARY_PATH_NAME   : C:\inetpub\wwwroot\InboxProcessor\Netbt.Inbox.Process.exe
        LOAD_ORDER_GROUP   :
        TAG                : 0
        DISPLAY_NAME       : InboxProcessor
        DEPENDENCIES       :
        SERVICE_START_NAME : LocalSystem
### 권한 분석

```powershell
C:\Users\efatura\Desktop>accesschk.exe /accepteula -uwdq "C:\inetpub\wwwroot\InboxProcessor\"

Accesschk v6.15 - Reports effective permissions for securable objects
Copyright (C) 2006-2022 Mark Russinovich
Sysinternals - www.sysinternals.com

C:\inetpub\wwwroot\InboxProcessor
  RW BUILTIN\Users                    ⚠️ 치명적(CRÍTICO)
  RW NT SERVICE\TrustedInstaller
  RW NT AUTHORITY\SYSTEM
  RW BUILTIN\Administrators

🛠️ 해결 방법 및 완화 조치

사전 요구 사항

관리자(Administrator) 권한으로 접근
관리자 권한으로 실행된 PowerShell 터미널

1단계: 서비스 경로를 따옴표로 묶기

실행 파일 경로에 따옴표를 추가하려면 다음 명령을 실행하세요.

sc.exe config InboxProcessor binPath= "`"C:\inetpub\wwwroot\InboxProcessor\Netbt.Inbox.Process.exe`""

⚠️ 참고: binPath= 뒤의 공백은 필수입니다.

2단계: 폴더 권한 제한

일반 사용자 그룹에 부여된 과도한 권한을 제거합니다.

# 폴더 경로 정의
$path = "C:\inetpub\wwwroot\InboxProcessor"

# 일반 사용자 그룹의 모든 권한 제거
icacls $path /remove "BUILTIN\Users" /t /c /l

# 관리자와 시스템이 전체 제어 권한을 유지하도록 보장
icacls $path /grant "Administrators:(OI)(CI)F" /t
icacls $path /grant "SYSTEM:(OI)(CI)F" /t

매개변수 설명:

/t : 변경 사항을 재귀적으로 적용
/c : 오류가 있어도 계속 진행
/l : 대상 대신 심볼릭 링크에 대해 작업
(OI)(CI)F : 전체 제어 권한의 상속

3단계: 최종 확인

변경 사항이 올바르게 적용되었는지 확인합니다.

# 경로가 이제 따옴표로 묶였는지 확인
sc qc InboxProcessor

# BUILTIN\Users에 RW 권한이 더 이상 없는지 확인
accesschk.exe /accepteula -uwdq "C:\inetpub\wwwroot\InboxProcessor\"

예상 결과:

BINARY_PATH_NAME이 따옴표로 묶여 있어야 합니다.
권한 목록에 BUILTIN\Users가 나타나지 않아야 합니다.

📦 소프트웨어 업데이트

이 취약점에 대한 네이티브 수정 사항이 포함된 NetBT e-Fatura 1.2.15 이상 버전으로 업데이트하는 것이 좋습니다.

업데이트 절차

https://net-bt.com.tr/e-fatura/ 에서 최신 버전 다운로드
현재 구성 백업
업데이트 설치 프로그램 실행
InboxProcessor 서비스 다시 시작

📚 참고 자료

CVE 레코드: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-14018
CWE-428: Unquoted Search Path or Element
공급업체: NetBT Consulting Services Inc.
크레딧: Seccops, Levent Sungu

✅ 보안 점검 목록

서비스 경로를 따옴표로 묶기
BUILTIN\Users의 RW 권한 제거
Administrators와 SYSTEM만 접근 권한이 있는지 확인
NetBT e-Fatura를 v1.2.15+로 업데이트
InboxProcessor 서비스 다시 시작
패치 후 보안 감사 실행
변경 로그에 변경 사항 문서화

⚠️ 보안 경고

이 취약점은 LocalSystem 권한으로 임의 코드 실행을 허용합니다. 프로덕션 환경에서는 치명적인 위험으로 간주됩니다. 즉시 패치를 적용하세요.

마지막 업데이트: 22/12/2025

CVE-2025-14018

인기