🇰🇷 한글 설명
Microsoft 기초 클래스(MFC) 라이브러리의 검증되지 않은 검색 경로 취약점으로, 공격자가 현재 작업 디렉토리에 악성 dwmapi.dll 파일을 배치하여 MFC 응용 프로그램 실행 시 권한 상승을 할 수 있습니다. Visual Studio, Visual C++, Exchange Server의 여러 버전이 영향을 받습니다.
💡 쉬운 설명
Windows 프로그램이 특정 폴더에서 라이브러리를 찾을 때 보안을 확인하지 않아, 공격자가 악성 파일을 미리 놓아두면 프로그램이 실행할 때 그 파일을 로드하게 됩니다. 이를 통해 공격자가 컴퓨터 관리자 권한으로 명령을 실행할 수 있습니다.
🇺🇸 원문 (English)
Untrusted search path vulnerability in the Microsoft Foundation Class (MFC) Library in Microsoft Visual Studio .NET 2003 SP1; Visual Studio 2005 SP1, 2008 SP1, and 2010; Visual C++ 2005 SP1, 2008 SP1, and 2010; and Exchange Server 2010 Service Pack 3, 2013, and 2013 allows local users to gain privileges via a Trojan horse dwmapi.dll file in the current working directory during execution of an MFC application such as AtlTraceTool8.exe (aka ATL MFC Trace Tool), as demonstrated by a directory that contains a TRC, cur, rs, rct, or res file, aka "MFC Insecure Library Loading Vulnerability."
📍 영향받는 시스템
Visual Studio .NET 2003 SP1, 2005 SP1, 2008 SP1, 2010; Visual C++ 2005 SP1, 2008 SP1, 2010; Exchange Server 2010 SP3, 2013
⚔️ 공격 벡터
TRC, cur, rs, rct, res 파일이 있는 디렉토리에서 AtlTraceTool8.exe 등의 MFC 응용프로그램 실행 시 현재 폴더의 dwmapi.dll을 로드하는 DLL 하이재킹 공격
🛡️ 대응 방법
Microsoft 보안 업데이트 적용 또는 MFC 응용프로그램 실행 환경의 경로 검증 강화
🔧 검증 코드
Visual Studio 8.0(2005), 9.0(2008), 10.0(2010)이 설치되어 있으면 취약한 버전의 존재 가능성 있음
reg query "HKLM\Software\Microsoft\VisualStudio" 2>/dev/null | grep -E '(8\.0|9\.0|10\.0)'