MAL-002: 설치된 Windows MSI를 통한 시스템 강제 재시작

시스템에 소프트웨어가 성공적으로 설치되면 하나 이상의 신뢰할 수 있는 MSI 파일이 “C:\Windows\Installer” 폴더에 나타나며, 낮은 권한의 사용자가 UAC를 요구하지 않고 “NT Authority\System” 사용자로 “복구” 및/또는 “수정” 작업을 수행할 수 있게 됩니다. 공격자가 “msiexec.exe” 프로그램을 “/forcerestart” 플래그와 함께 사용하여 “복구” 작업을 성공적으로 수행하면 대상 시스템이 재시작됩니다.

참고: 일부 MSI는 복구 절차에도 관리자 인증을 요구할 수 있지만, 이는 일반적인 경우가 아니라 예외입니다(예: Vmware Tools).

사용 사례:

낮은 권한의 사용자로 Windows 서버를 재시작하는 것이 유용할 수 있는 경우는 다음과 같습니다:

서비스를 중단시킬 수 있는 로컬 권한 상승 공격(예: 버퍼 오버플로 공격)을 수행하는 경우, 서비스가 응답하지 않게 되면 해당 서비스를 강제로 재시작하기 위해
구성 파일, DLL 및/또는 실행 파일을 수정/작성하는 경우, 변경 사항을 적용하려면 서비스/시스템을 재시작해야 합니다(예: DLL 검색 순서 공격)
대상을 지속적으로 재시작하여 잠재적인 DoS를 유발하는 경우

CVE가 없는 이유?

Microsoft와 저 모두 이 취약점 자체가 영향도가 높은 취약점이라고 생각하지 않기 때문에 CVE가 필요하지 않았습니다.

그럼에도 불구하고, 저는 이 취약점이 상당히 흥미롭다고 생각하며, 이 저장소를 우연히 발견한 누군가에게 유용하기를 바랍니다.

요구 사항:

이 취약점이 요구하는 조건은 다음과 같습니다:

대상 시스템에 대한 로컬 액세스
대상에 하나 이상의 사용 가능한 MSI가 설치되어 있어야 합니다

개념 증명:

자세한 내용과 악용 절차는 이 PDF에서 확인할 수 있습니다.

타임라인:

이 취약점은 2022년 5월 18일에 https://msrc.microsoft.com/ 로 처음 보고되었습니다.
취약점은 문제가 아닌 것으로 간주되었습니다.
2024년 1월 23일에 취약점을 재테스트했으며, 취약점이 최신 버전의 Windows 11(OS 빌드: 22621.3007)에서 여전히 작동하는 것을 확인했습니다.
2024년 2월 3일에 취약점을 공개했습니다.

MAL-002

인기