🇰🇷 한글 설명
TSplus Remote Access의 공유 로그인 스크립트 권한 설정 오류로 인해 발생하는 취약점입니다. 공유 테마 디렉토리에 있는 autostart1.tscr 파일에 권한이 없는 사용자가 쓰기 작업을 할 수 있어, 다른 사용자가 로그인할 때 임의의 명령어를 실행할 수 있습니다. 이를 통해 권한 상승이나 사용자 간 측면 이동이 가능할 수 있습니다.
💡 쉬운 설명
공용 폴더에 있는 로그인 설정 파일의 보안이 허술하여, 나쁜 의도를 가진 사용자가 파일을 몰래 수정할 수 있는 문제입니다. 이렇게 수정된 파일을 다른 사용자가 실행하게 되면, 공격자가 그 사용자의 권한을 가로챌 수 있습니다.
🇺🇸 원문 (English)
Vulnerability due to incorrect permissions in TSplus Remote Access shared login scripts. The autostart1.tscr files, located in the shared themes directory, allow users without sufficient privileges to write to them. A local attacker with a valid session on the terminal or remote desktop server could modify these files to execute arbitrary commands within another user’s security context when that user logs in using the same theme or operating mode. Depending on the affected user’s privileges, exploitation could allow lateral movement between users or privilege escalation.
📍 영향받는 시스템
TSplus Remote Access (공유 테마 디렉토리 내 autostart1.tscr 파일이 존재하는 시스템)
⚔️ 공격 벡터
로컬 공격자가 유효한 세션을 통해 공유 테마 디렉토리의 스크립트 파일을 수정하여 타 사용자의 로그인 시 악성 코드 실행
🛡️ 대응 방법
공유 테마 디렉토리 내 autostart1.tscr 파일의 쓰기 권한을 관리자(Administrator)로 제한하고 일반 사용자의 접근을 차단하십시오.
🔧 검증 코드
명령어 결과에 파일 권한이 일반 사용자에게 쓰기 권한(w)이 부여된 상태로 출력되면 취약한 상태입니다.
ls -l "C:\Program Files (x86)\TSplus\Remote Desktop\Themes\*\autostart1.tscr" 2>/dev/null | grep -v '^-rw-r--r--'