🇰🇷 한글 설명
ServerEye 클라이언트(ClientAgentContainerService) 20.15 이하 버전에서 로컬 권한 상승 취약점이 발견되었습니다. 공격자가 특정 디렉토리에 조작된 트리거 파일을 생성하면, SYSTEM 권한으로 실행되는 서비스가 악성 파일을 시스템 경로에 덮어씌워 전체 시스템 권한을 탈취할 수 있습니다.
💡 쉬운 설명
컴퓨터의 관리자 권한을 가진 프로그램이 보안이 허술한 폴더를 감시하다가, 일반 사용자가 만든 가짜 명령을 실행해버리는 문제입니다. 이를 통해 일반 사용자가 컴퓨터의 모든 권한을 가진 관리자로 변신할 수 있습니다.
🇺🇸 원문 (English)
The servereye client (also known as sensorhub, technically ClientAgentContainerService) versions 20.15 and earlier are vulnerable to Local Privilege Escalation. The high-privileged service SE3Recovery (EmergencyRecoveryService.exe), running as SYSTEM, periodically monitors the directory %ProgramData%\ServerEye3\update\ for a trigger file named "update_available". Due to insufficient access restrictions on this directory, a local standard user can create the trigger file and provide a path to a directory containing malicious JSON instructions. The service subsequently executes the utility UpdaterAction.exe with SYSTEM privileges, which parses the instructions and performs an unvalidated file copy from a user-controlled source to a protected system destination (e.g., overwriting a service binary). This leads to full system compromise as the service automatically restarts the overwritten binary with SYSTEM privileges.
📍 영향받는 시스템
ServerEye client (sensorhub, ClientAgentContainerService) versions 20.15 and earlier
⚔️ 공격 벡터
로컬 표준 사용자가 권한이 제한되지 않은 디렉토리에 조작된 'update_available' 파일과 악성 JSON 명령을 생성하여 SYSTEM 권한의 서비스를 이용한 파일 덮어쓰기 공격
🛡️ 대응 방법
ServerEye 클라이언트를 최신 버전으로 업데이트하거나, %ProgramData%\ServerEye3\update\ 디렉토리에 대한 일반 사용자의 쓰기 권한을 제한하십시오.
🔧 검증 코드
출력된 서비스 목록에서 ServerEye 관련 서비스가 존재하는지 확인하고, 설치된 프로그램의 버전을 체크하여 20.15 이하인지 확인하십시오.
powershell -Command "Get-Service | Where-Object { $_.DisplayName -like '*ServerEye*' -or $_.Name -like '*ClientAgentContainerService*' } | Select-Object Name, DisplayName"