🇰🇷 한글 설명
Veritas Desktop and Laptop Option(DLO) 9.4 미만 버전에서 OpenSSL 설정 파일 로드 경로의 취약점이 발견되었습니다. 권한이 낮은 사용자가 특정 경로에 악성 설정 파일을 생성하면, 서비스 시작 시 SYSTEM 권한으로 임의의 코드가 실행될 수 있습니다. 이는 공격자가 시스템 전체에 대한 관리자 권한을 획득할 수 있게 합니다.
💡 쉬운 설명
프로그램이 실행될 때 필요한 설정 파일을 찾는 과정에서 보안 허점이 있습니다. 해커가 가짜 설정 파일을 미리 만들어 두면, 컴퓨터가 켜질 때 해커의 명령을 관리자 권한으로 실행하게 됩니다.
🇺🇸 원문 (English)
An issue was discovered in Veritas Desktop and Laptop Option (DLO) before 9.4. On start-up, it loads the OpenSSL library from /ReleaseX64/ssl. This library attempts to load the /ReleaseX64/ssl/openssl.cnf configuration file, which does not exist. By default, on Windows systems, users can create directories under C:\. A low privileged user can create a C:/ReleaseX64/ssl/openssl.cnf configuration file to load a malicious OpenSSL engine, resulting in arbitrary code execution as SYSTEM when the service starts. This gives the attacker administrator access on the system, allowing the attacker (by default) to access all data, access all installed applications, etc. This impacts DLO server and client installations.
📍 영향받는 시스템
Veritas Desktop and Laptop Option (DLO) 9.4 미만 버전 (Server 및 Client)
⚔️ 공격 벡터
저권한 사용자가 C:/ReleaseX64/ssl/openssl.cnf 경로에 악성 설정 파일을 생성하여 SYSTEM 권한 탈취
🛡️ 대응 방법
Veritas에서 제공하는 최신 보안 패치를 적용하거나 DLO 버전을 9.4 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 9.4 미만인 경우 해당 취약점에 노출된 상태입니다.
powershell -Command "(Get-Item 'C:\Program Files\Veritas\DLO\*').Version"