🇰🇷 한글 설명
PACSgear MediaWriter 5.2.1 버전에서 인증 없이 .NET Remoting TCP 서비스에 접근할 수 있는 취약점이 발견되었습니다. 공격자는 이를 통해 임의의 파일을 읽고 쓸 수 있으며, 서비스가 SYSTEM 권한으로 실행되는 특성을 이용해 DLL 하이재킹을 수행함으로써 원격 코드 실행(RCE)이 가능합니다.
💡 쉬운 설명
해커가 아무런 로그인 과정 없이 의료 영상 소프트웨어의 관리 기능을 마음대로 조작할 수 있는 보안 구멍입니다. 이를 통해 해커는 컴퓨터의 파일을 마음대로 바꾸거나 시스템 전체를 장악할 수 있습니다.
🇺🇸 원문 (English)
PACSgear MediaWriter 5.2.1 exposes a .NET Remoting TCP service on port 9000 via PacsgearMediaServerEngine.dll, registered with ObjectURIs RemoteObj and UIRemoteObj, without any authentication requirement. By exploiting the MarshalByRefObject object unmarshalling technique and implementing .NET WebClient class methods, an unauthenticated remote attacker can read and write arbitrary files on the host filesystem. The ObjectURIs are identical across all installations by default. Chaining the arbitrary file write primitive with DLL hijacking opportunities in the MediaWriter service (which runs as NT Authority\\SYSTEM and loads missing DLLs such as CRYPTBASE.DLL from the application directory) enables unauthenticated remote code execution as SYSTEM upon service restart.
📍 영향받는 시스템
PACSgear MediaWriter 5.2.1
⚔️ 공격 벡터
인증되지 않은 .NET Remoting TCP 서비스(포트 9000)를 통한 임의 파일 쓰기 및 DLL 하이재킹
🛡️ 대응 방법
해당 소프트웨어를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 포트 9000에 대한 외부 접근을 차단하십시오.
🔧 검증 코드
명령어 실행 결과에 9000번 포트가 LISTENING 상태로 나타나면 해당 취약한 서비스가 활성화되어 있는 것입니다.
netstat -ano | grep :9000