🇰🇷 한글 설명
PRTG Network Monitor 26.2.120.1449 이전 버전의 데모 센서에서 발생하는 취약점입니다. 숫자가 아닌 값을 입력할 경우 cscript.exe가 발생하는 오류 메시지에 %windowspassword 변수로 치환된 평문 비밀번호가 포함되어 노출될 수 있습니다.
💡 쉬운 설명
프로그램의 오류 메시지를 이용해 시스템의 중요한 비밀번호를 몰래 훔쳐볼 수 있는 보안 결함입니다. 권한이 있는 사용자가 특정 값을 입력하면 비밀번호가 화면에 그대로 나타나게 됩니다.
🇺🇸 원문 (English)
PRTG Network Monitor before version 26.2.120.1449 ships a demo EXE/Script sensor that multiplies two integer parameters using cscript.exe. If a non-numeric value is passed instead, cscript.exe raises a 'Type mismatch' runtime error that includes the offending parameter value in plaintext. PRTG provides a documented placeholder variable, %windowspassword, which resolves to the configured Windows/domain password used by PRTG and can be passed as a sensor parameter.
Any PRTG user who is not restricted to read-only access and is permitted to create sensors (the default for non-read-only users) can pass %windowspassword as an argument to the demo VBScript sensor, triggering the type-mismatch error and causing PRTG to display the plaintext password in the sensor's error output.
📍 영향받는 시스템
PRTG Network Monitor version 26.2.120.1449 미만 버전
⚔️ 공격 벡터
센서 생성 권한이 있는 사용자가 데모 VBScript 센서의 매개변수에 %windowspassword를 입력하여 오류 메시지를 유도함
🛡️ 대응 방법
PRTG Network Monitor를 최신 버전(26.2.120.1449 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 26.2.120.1449보다 낮은지 확인하십시오.
powershell -Command "(Get-Item 'C:\Program Files (x86)\Paessler\PRTG Network Monitor\PRTG Monitor Service.exe').VersionInfo.ProductVersion"
💻 영향받는 소프트웨어
Storage Protect Snapshot for Windows