시만텍 의 엔드 포인트 솔루션 에서 임의 DLL 로딩 취약점 발견 
 | 입력 : 2019 - 11 - 15 09 : 43 
 시 만 텍 의 백신 솔루션 , 엉뚱 한 경로 에서 DLL 을 로딩 하 려고 시도 
 그 경로 에 임의로 DLL 심음 으로써 권한 탈취 가능 . .. 14 . 2 RU 2 로 업그레이드 해야 
 [ 보안 뉴스 문가 용 기자 ] 보안 업체 시만텍 ( Symantec ) 의 엔드 포인트 프로 텍 션 ( Endpoint Protection ) 백신 제품 에서 취약점 이 발견 됐 다 . 이 취약점 을 익스 플로 잇 할 경우 시스템 ( SYSTEM ) 권한 을 가진 프로세스 에 서명 되 지 않 은 DLL 을 임의 로 로딩 할 수 있 게 된다고 한다 . 
 이 를 발견 한 건 , 어제 보안 업체 맥아피 ( McAfee ) 의 백신 제품 에서 비슷 한 DLL 로딩 오류 를 발견 했 다고 발표 한 세이프 브리치 ( SafeBreach ) 라는 보안 업체 이 다 . 세이프 브리치 는 요 며칠 동안 어 베스트 ( Avast ) , AVG , 아비라 ( Avira ) , 포스 포인트 ( Forcepoint ) , 트렌드 마이크로 ( Trend Micro ) , 비트 디펜더 ( Bitdefendter ) , 체크포인트 ( Check Point ) 등 여러 보안 업체 의 제품군 에서 비슷 한 문제 들 을 공개 하 고 있 다 . 
 세이프 브리치 에 따르 면 시만텍 의 엔드 포인트 프로 텍 션 은 NT AUTHORITY / SYSTEM 이 라는 자격 을 가진 프로세스 로서 실행 된다고 한다 . 이 는 컴퓨터 내 에서 가장 높 은 권한 을 가진 프로세스 라는 뜻 이 다 . 이 높 은 권한 을 가지 고 DLL 을 로딩 하 기 도 하 는데 , 이 때 존재 하 지 않 는 경로 에서 DLL 을 찾 는다고 세이프 브리츠 는 설명 한다 . 
 “ 보다 정확히 말 하 면 엔드 포인트 프로 텍 션 이 DLL 파일 을 찾 으려고 검색 하 는 경로 는 C : \ Windows \ SysWOW 64 \ wbem \ DSPARSE . dll 입니다 . 하지만 실제 DLL 파일 은 SystemWow 64 라는 폴더 에 저장 되 어 있 습니다 . ” 맥아피 의 제품 에서 도 이 와 유사 한 문제 가 발견 됐었 다 . 
 다른 백신 프로그램 들 과 마찬가지 로 시만텍 의 엔드 포인트 프로 텍 션 도 작 은 필터 기능 을 파일 시스템 드라이버 에 적용 해 제품 이 설치 된 폴더 를 보호 한다 . 공격자 는 물론 관리자 권한 을 가진 사용 자 들 조차 폴더 에 들어가 임의 로 뭔가 를 바꾸 지 못하 게 한 것 이 다 . 
 “ 그렇 다는 건 엔드 포인트 프로 텍 션 이 찾 는 DLL 을 올바른 경로 로 가져다 놓 거나 , 엔드 포인트 프로 텍 션 이 올바른 경로 를 검색 하 도록 변경 할 수 없 다는 뜻 입니다 . 시스템 관리자 라도 말 이 죠 . ” 세이프 브리치 의 설명 이 다 . “ 대신 원래 의 DSPARSE . dll 로부터 서명 되 지 않 은 라이브러리 를 만들 수 는 있 습니다 . 그리고 이 가짜 라이브러리 를 \ SysWow 64 \ Wbem 폴더 에 심 을 수 있 죠 . 그래서 엔드 포인트 프로 텍 션 이 이 를 로딩 하 도록 유도 할 수 있 습니다 . ” 
 실제 실험 을 통해 세이프 브리치 의 전문가 들 은 임의 의 프록시 DLL 을 로딩 하 는 데 성공 했 고 , 이 를 통해 가장 높 은 권한 을 가진 NT AUTHORITY \ SYSTEM 프로세스 에서 코드 를 실행 시킬 수 있 었 다고 한다 . “ 그랬 을 때 백신 이 가진 방어 매 커 니즘 을 우회 할 수 있 었 습니다 . ” 
 이 취약점 이 존재 하 는 두 가지 근본 적 인 이유 는 다음 과 같 다 . 
 1 ) 백신 이 로딩 된 바이너리 의 디지털 서명 을 확인 하 지 않 는다 . 
 2 ) dsparse . dll 이 라는 라이브러리 를 잘못 된 경로 에서 검색 해 로딩 하 려 한다 . 
 이 취약점 을 익스 플로 잇 하 려면 관리 자급 권한 이 필요 하 다 . 하지만 일단 공격 에 성공 하 고 나 면 시만텍 이 서명 한 가장 높 은 권한 을 가져갈 수 있 게 된다 . “ 다양 한 목적 을 달성 하 고자 하 는 공격자 들 이 라면 충분히 노려볼 만 한 취약점 입니다 . 애플리케이션 화이트 리스팅 과 같 은 보안 매 커 니즘 도 쉽 게 피해갈 수 있 게 되 죠 . 공격자 들 에게 상당히 유용 한 취약점 임 에 는 틀림 이 없 습니다 . ” 
 이 취약점 은 CVE - 2019 - 12758 이 라는 번호 로 관리 되 고 있 다 . 시만텍 엔드 포인트 프로 텍 션 14 . 2 RU 2 이전 버전 들 모두 에서 발견 되 고 있 다 . 14 . 2 RU 2 버전 으로 업그레이드 하 면 문제 가 사라진다는 뜻 이 다 . 시만텍 은 14 . 2 RU 2 를 통해 다른 취약점 들 도 고쳤 다고 발표 했 다 . 
 1 . 시만텍 의 엔드 포인트 프로 텍 션 백신 에서 취약점 발견 됨 . 
 2 . 엉뚱 한 곳 에서 DLL 을 로딩 하 는 취약점 으로 , 익스 플로 잇 하 면 가장 높 은 권한 가져갈 수 있 게 됨 . 
 3 . 시만텍 은 14 . 2 RU 2 버전 배포 하 면서 문제 해결 .