🇰🇷 한글 설명
Windows 환경에서 특정 시스템 로캘(한국어, 중국어, 일본어 포함)을 사용하는 경우, 특수하게 제작된 파일 이름을 처리할 때 Elastic Endpoint에서 처리되지 않은 예외(CWE-248)가 발생합니다. 이로 인해 Elastic Endpoint 프로세스가 반복적으로 충돌 및 재시작되어 실시간 악성코드 방지 및 행동 탐지 기능이 저하되거나 비활성화될 수 있습니다.
💡 쉬운 설명
특정한 언어 설정이 된 윈도우 컴퓨터에서 이상한 이름의 파일을 만들면 보안 프로그램이 계속 꺼졌다 켜졌다를 반복하게 됩니다. 이 과정에서 컴퓨터를 지켜주는 보안 기능이 제대로 작동하지 않을 수 있습니다.
🇺🇸 원문 (English)
Uncaught Exception (CWE-248) in Elastic Endpoint can lead to denial of service via a specially crafted file name. When Elastic Defend's Elastic Endpoint component processes a file name under certain system locale configurations (including Chinese, Japanese, and Korean locales) on Windows, an unhandled exception can occur during file-path handling. This causes the Elastic Endpoint process to crash and restart repeatedly, which can degrade or disable Elastic Defend's real-time malware prevention and behavioral detection capabilities on the affected host for as long as the condition persists.
📍 영향받는 시스템
Windows 환경에서 특정 로캘(KO, ZH, JA)을 사용하는 Elastic Defend/Endpoint 설치 시스템
⚔️ 공격 벡터
특수하게 조작된 파일 이름을 생성하여 보안 프로세스의 예외를 유도하는 방식
🛡️ 대응 방법
Elastic 보안 솔루션의 최신 보안 패치 적용 및 업데이트 수행
🔧 검증 코드
명령어 결과에서 Elastic 관련 서비스의 상태가 'Running'인지 확인하고, 반복적인 중단이 발생하는지 모니터링합니다.
powershell -Command "Get-Service -Name 'Elastic*' | Select-Object Name, Status, StartType"
📊 CVSS Vector String
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
💻 영향받는 소프트웨어
Storage Protect Snapshot for Windows