🇰🇷 한글 설명
Windows에서 MSI를 통해 MongoDB Connector for BI를 설치할 때, 사용자 지정 설치 디렉토리에 대한 ACL(액세스 제어 목록)이 설정되지 않아 권한 상승이 발생할 수 있습니다. 이 문제는 MongoDB Connector for BI 2.0.0 버전부터 2.14.24 버전까지 영향을 미칩니다.
💡 쉬운 설명
프로그램이 설치되는 폴더의 보안 설정이 제대로 되어 있지 않아, 일반 사용자가 관리자 권한을 획득할 수 있는 취약점입니다. 설치 경로의 권한을 누구나 수정할 수 있게 방치된 것이 원인입니다.
🇺🇸 원문 (English)
MongoDB Connector for BI installation via MSI on Windows leaves ACLs unset on custom install directories allows Privilege Escalation.This issue affects MongoDB Connector for BI: from 2.0.0 through 2.14.24.
📍 영향받는 시스템
MongoDB Connector for BI: 2.0.0 ~ 2.14.24
⚔️ 공격 벡터
설치된 디렉토리의 권한 설정을 조작하여 악성 파일을 실행함으로써 관리자 권한을 탈취함
🛡️ 대응 방법
해당 소프트웨어를 최신 보안 패치가 적용된 버전으로 업데이트하거나 설치 디렉토리의 ACL을 수동으로 제한함
🔧 검증 코드
출력된 결과에서 일반 사용자(Users)에게 'FullControl' 또는 'Write' 권한이 부여되어 있는지 확인합니다.
powershell -Command "Get-ChildItem -Path 'C:\Your\Custom\Install\Path' -Recurse | Get-Acl | Select-Object Path, AccessToString"
💻 영향받는 소프트웨어
Storage Protect Snapshot for Windows