🇰🇷 한글 설명
Vasion Print(구 PrinterLogic)의 가상 어플라이언스 호스트 및 애플리케이션 버전에서 드라이버 설치 중 unquoted service path 취약점으로 인해 원격 코드 실행이 가능합니다. 공격자가 특정 경로에 악성 파일을 배치하면 설치 프로세스의 권한으로 임의의 코드가 실행되어 시스템 권한 탈취로 이어질 수 있습니다.
💡 쉬운 설명
프로그램 실행 경로에 따옴표가 빠져 있어, 컴퓨터가 엉뚱한 위치에 있는 악성 프로그램을 진짜 프로그램으로 착각하고 실행하는 문제입니다. 이를 통해 해커가 관리자 권한을 얻어 컴퓨터를 완전히 장악할 수 있습니다.
🇺🇸 원문 (English)
Vasion Print (formerly PrinterLogic) Virtual Appliance Host versions prior to 1.0.735 and Application prior to 20.0.1330 (Windows client deployments) contain a remote code execution vulnerability during driver installation caused by unquoted program paths. The PrinterInstallerClient driver-installation component launches programs using an unquoted path under "C:\Program Files (x86)\Printer Properties Pro\Printer Installer". Because the path is unquoted, the operating system may execute a program located at a short-path location such as C:\Program.exe before the intended binaries in the quoted path. If an attacker can place or cause a program to exist at that location, it will be executed with the privileges of the installer process (which may be elevated), enabling arbitrary code execution and potential privilege escalation. This weakness can be used to achieve remote code execution and full compromise of affected Windows endpoints. This vulnerability has been identified by the vendor as: V-2022-006 — Driver Upload Security.
📍 영향받는 시스템
Vasion Print Virtual Appliance Host < 1.0.735, Application (Windows client) < 20.0.1330
⚔️ 공격 벡터
Unquoted Service Path를 이용한 악성 실행 파일 배치 및 권한 상승
🛡️ 대응 방법
Vasion Print 소프트웨어를 최신 버전(Host 1.0.735 이상, Application 20.0.1330 이상)으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 해당 경로를 포함한 서비스가 출력되면 취약한 상태이며, 아무것도 출력되지 않으면 안전합니다.
powershell -Command "Get-WmiObject win32_service | Where-Object { $_.PathName -notlike '"%"' -and $_.PathName -like '*C:\Program Files (x86)\Printer Properties Pro\Printer Installer*' }"