🇰🇷 한글 설명
ASUS Member Center의 업데이트 모듈에서 무결성 검사 없이 코드를 다운로드하는 취약점이 발견되었습니다. 로컬 사용자가 업데이트 과정 중 발생하는 TOC-TOU(Time-of-check Time-of-use) 취약점을 악용하여, 다운로드된 정상 파일을 악성 페이로드로 교체함으로써 관리자 권한을 획득할 수 있습니다.
💡 쉬운 설명
프로그램이 업데이트 파일을 내려받은 직후, 실제 실행하기 직전의 짧은 찰나에 파일을 가짜 파일로 바꿔치기하는 공격입니다. 이를 통해 해커가 컴퓨터의 관리자 권한을 몰래 가져갈 수 있습니다.
🇺🇸 원문 (English)
A Download of Code Without Integrity Check vulnerability in the update modules in ASUS Member Center(华硕大厅) allows a local user to achieve privilege escalation to Administrator via exploitation of a Time-of-check Time-of-use (TOC-TOU) during the update process, where an unexpected payload is substituted for a legitimate one immediately after download, and subsequently executed with administrative privileges upon user consent.
Refer to the 'Security Update for ASUS Member Center' section on the ASUS Security Advisory for more information.
📍 영향받는 시스템
ASUS Member Center (华硕大厅) 업데이트 모듈이 포함된 버전
⚔️ 공격 벡터
로컬 사용자가 업데이트 파일 다운로드와 실행 사이의 시간차를 이용한 파일 교체(TOC-TOU) 공격
🛡️ 대응 방법
ASUS 보안 권고를 참조하여 ASUS Member Center를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
애플리케이션 설정 메뉴에서 현재 설치된 ASUS Member Center의 버전을 확인하고 ASUS 보안 공지에서 권장하는 최신 버전인지 대조하십시오.
asus_member_center_version_check 2>/dev/null || echo 'Please check ASUS Member Center version manually via application settings'