🇰🇷 한글 설명
로컬 액세스 권한을 가진 공격자가 취약한 권한 설정을 악용하여 Windows 사용자 권한을 'NT AUTHORITY\SYSTEM'으로 상승시킬 수 있는 취약점입니다. Elefant 서비스의 설치 디렉토리에 모든 사용자가 쓰기 권한을 가지고 있어, 서비스 바이너리를 악성 파일로 교체할 수 있습니다.
💡 쉬운 설명
컴퓨터에 접속할 수 있는 사람이 프로그램의 핵심 파일을 몰래 바꿔치기하여 컴퓨터의 모든 권한을 탈취할 수 있는 문제입니다. 이를 통해 관리자보다 더 높은 권한을 얻어 시스템을 완전히 장악할 수 있습니다.
🇺🇸 원문 (English)
Attackers with local access to the medical office computer can
escalate their Windows user privileges to "NT AUTHORITY\SYSTEM" by
overwriting one of two Elefant service binaries with weak permissions. The default installation directory of Elefant is "C:\Elefant1" which is
writable for all users. In addition, the Elefant installer registers two
Firebird database services which are running as “NT AUTHORITY\SYSTEM”.
Path: C:\Elefant1\Firebird_2\bin\fbserver.exe
Path: C:\Elefant1\Firebird_2\bin\fbguard.exe
Both service binaries are user writable. This means that a local
attacker can rename one of the service binaries, replace the service
executable with a new executable, and then restart the system. Once the
system has rebooted, the new service binary is executed as "NT
AUTHORITY\SYSTEM".
📍 영향받는 시스템
Elefant 소프트웨어가 설치된 Windows 시스템 (C:\Elefant1 디렉토리 포함)
⚔️ 공격 벡터
로컬 권한을 가진 사용자가 쓰기 권한이 허용된 서비스 바이너리(fbserver.exe 또는 fbguard.exe)를 악성 파일로 교체한 후 시스템 재부팅
🛡️ 대응 방법
Elefant 서비스 바이너리 파일에 대한 일반 사용자 쓰기 권한을 제거하고, 설치 디렉토리의 권한 설정을 보안 가이드라인에 맞게 수정하십시오.
🔧 검증 코드
명령어 결과에 일반 사용자(Users 등) 그룹에 대한 쓰기(W) 또는 수정(F) 권한이 나타나면 취약한 상태입니다.
icacls "C:\Elefant1\Firebird_2\bin\fbserver.exe" "C:\Elefant1\Firebird_2\bin\fbguard.exe" | grep -E "(F|W)" | grep -v "SYSTEM" | grep -v "Administrators"