보안 연구원 샌드박스이스케이퍼(SandboxEscaper)가 또 하나의 윈도우 로컬 권한상승 제로데이를 온라인에 공개했다.

로컬 권한상승 취약점(LPE)은 시스템 침입에는 사용할 수 없지만 해커는 침입 이후 단계에서 호스트에서의 권한을 낮은 권한(low-priviliged)에서 관리자 권한으로 상승시키는데 사용할 수 있다.

깃허브에 올라온 제로데이에 대한 설명에 따르면 취약점은 윈도우 태스크 스케줄러(Windows Scheduler) 프로세스에 존재한다. 공격자는 작업 스케줄러 프로세스가 개별 파일에 대한 DACL(임의 액세스 제어 목록) 권한을 변경하는 방식의 결함을 악용하게 조작된 .job 파일을 실행할 수 있다.

취약점이 악용되면 해커의 권한이 낮은 계정을 관리자 액세스 권한으로 상승시켜 시스템 전체에 침입자 액세스 권한을 부여할 수 있다.

제로데이는 윈도우즈 10 32비트 시스템에서 작동하는 것이 확인되었다. 확인을 거쳐야하겠지만 이론적으로는 약간의 조정을 거쳐 XP, Server2003 등 모든 윈도우 버전에서도 제로데이는 작동할 수 있다.

개녕증명코드(PoC)와 데모는 아래에서 확인 가능하다.

https://github.com/SandboxEscaper/polarbearrepo/tree/master/bearlpe

이 취약점을 공개한 연구원인 샌드박스이스케이퍼는 마이크로소프트 측에 알리지 않고 윈도우 제로데이를 온라인에 공개하는 것으로 유명하다.

2018년에 그녀는 다음과 같은 4개의 제로데이를 공개했다.

- LPE in Advanced Local Procedure Call (ALPC)

- LPE in Microsoft Data Sharing (dssvc.dll)

- LPE in ｒｅａｄｆｉｌｅ

- LPE in the Windows Error Reporting (WER) system

아래 3개는 악용사례가 보고된 바 없지만, 첫번째 취약점은 공개된지 몇 주 지나면서 실제 악성 캠페인에서 사용되었다.

마이크로소프트는 공개된지 1~2 개월 이내에 대부분의 문제를 패치했다. 다음 패치 화요일은 6월 11일로 예정되어 있다.

출처 : https://www.dailysecu.com/?mod=news&act=articleView&idxno=51229