🇰🇷 한글 설명
Remote Utilities Host 7.7.3.0 이하 버전에서 설치 디렉토리 내의 모든 DLL 파일에 'Everyone' 그룹의 모든 권한(Full Control)이 부여되는 보안 설정 오류가 발견되었습니다. 서비스가 중지된 상태를 이용해 공격자가 악성 DLL로 교체할 경우, 서비스 재시작 시 NT AUTHORITY\SYSTEM 권한으로 악성 코드가 실행될 수 있습니다.
💡 쉬운 설명
프로그램 설치 폴더의 파일 수정 권한이 너무 넓게 설정되어 있어, 누구나 파일을 바꿀 수 있는 상태입니다. 이를 이용해 해커가 가짜 파일을 심어두면 컴퓨터가 관리자 권한으로 해커의 명령을 실행하게 됩니다.
🇺🇸 원문 (English)
Remote Utilities Host <=7.7.3.0 sets insecure ACLs on all DLL files in the installation directory (C:\Program Files (x86)\Remote Utilities - Host\), granting FULL CONTROL (F) to the built-in Everyone group (BUILTIN\Everyone, S-1-1-0). A Windows service running as NT AUTHORITY\SYSTEM loads DLLs from this directory. The DLLs are file-locked at runtime, but a race window exists when the service is stopped (e.g. during a software update or following a crash), during which a local unprivileged attacker can replace a DLL with a malicious payload. Upon service restart, the payload executes as NT AUTHORITY\SYSTEM. The DLL confirmed as actively loaded during testing is libasset32.dll. Additional DLLs in the same directory (eventmsg.dll, libcodec32.dll, vp8encoder.dll, vp8decoder.dll, webmvorbisdecoder.dll, webmvorbisencoder.dll, webmmux.dll) share identical insecure permissions.
📍 영향받는 시스템
Remote Utilities Host 버전 7.7.3.0 이하
⚔️ 공격 벡터
로컬 권한을 가진 공격자가 서비스 중단 시점에 DLL 파일을 악성 파일로 교체하는 Race Condition 공격
🛡️ 대응 방법
해당 소프트웨어를 최신 버전으로 업데이트하거나, 설치 디렉토리의 ACL을 수정하여 'Everyone' 그룹의 쓰기 권한을 제거해야 합니다.
🔧 검증 코드
명령어 결과에 'Everyone'과 '(F)' 또는 'Full Control'이 포함되어 있다면 보안 취약점이 존재하는 상태입니다.
icacls "C:\Program Files (x86)\Remote Utilities - Host\libasset32.dll" | findstr /C:"Everyone" /C:"F"