🇰🇷 한글 설명
Windows용 NordVPN에서 로컬 공격자가 명명된 파이프(Named Pipe)를 통해 보호되지 않은 Windows 시스템 서비스를 중지하고 시작 유형을 수동으로 변경할 수 있는 취약점입니다. 공격자는 낮은 권한으로도 신뢰할 수 있는 프로세스처럼 동작하여 임의의 서비스에 명령을 내릴 수 있으며, 이는 주요 시스템 서비스의 서비스 거부(DoS)로 이어질 수 있습니다.
💡 쉬운 설명
해커가 컴퓨터에 몰래 들어와서 중요한 보안 프로그램이나 시스템 기능을 강제로 꺼버릴 수 있는 문제입니다. 다만, 윈도우 자체에서 강력하게 보호하는 핵심 보안 기능은 건드릴 수 없습니다.
🇺🇸 원문 (English)
NordVPN for Windows allows local attackers to stop unprotected Windows system services and change their startup type to Manual via named pipes. The NordVPN user-mode application allows a low-privileged attacker to act as a trusted process and connect to the named pipe "\\.\pipe\nord-security\v1\NordVpnService\Server". The attacker can then invoke the "ISettingsGrpc.StopService" and "ISettingsGrpc.ChangeServiceStartType" methods with an arbitrary service name, allowing them to stop any unprotected Windows service and change its startup type. This leads to denial of service of critical system services. Services protected by Windows (PPL processes, Windows Tamper Protection), such as Windows Defender, cannot be stopped or reconfigured.
This issue was fixed in version 8.12
📍 영향받는 시스템
NordVPN for Windows (버전 8.12 미만)
⚔️ 공격 벡터
로컬 권한을 가진 공격자가 NordVPN의 명명된 파이프를 통해 특정 메서드를 호출하는 방식
🛡️ 대응 방법
NordVPN을 최신 버전인 8.12 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 8.12보다 낮은지 확인하십시오.
powershell -command "(Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\*' | Where-Object { $_.DisplayName -like '*NordVPN*' }).DisplayVersion"
💻 영향받는 소프트웨어
Storage Protect Snapshot for Windows