Clash Verge Rev Windows 서비스 권한 상승 위험, 어떻게 대응하나요?

Clash Verge Rev의 GHSA-99qg-xv7m-jf4v 보안 공지는 Windows 시스템 서비스에 관한 것입니다. 로컬의 낮은 권한 사용자나 프로세스가 접근 제한을 우회해 시스템 고권한 계정인 LocalSystem으로 실행되는 서비스에 코드를 실행시킬 수 있습니다. 네트워크를 통해 원격으로 직접 악용할 수는 없습니다.

권고와 전체 빌드를 비교하세요. 영향받는 범위는 <= 2.5.4이며 명시된 수정 빌드는 v2.5.4+autobuild.0908.bbab52d입니다. +autobuild 접미사를 생략해서는 안 되며 주 버전이 같다는 이유만으로 일반 v2.5.4를 수정 빌드와 같은 보안 상태로 판단해서도 안 됩니다.

대상은 Clash Verge Rev가 Windows에 설치하는 시스템 서비스입니다. Mihomo의 규칙, 구독 또는 프록시 노드가 아니며 macOS, Linux나 다른 Clash 클라이언트에 그대로 적용해서도 안 됩니다. 시스템 서비스는 그래픽 앱과 별도로 실행되므로 Clash Verge Rev를 종료한 뒤에도 백그라운드에 남을 수 있습니다. 창이나 TUN만 닫아서는 서비스가 중지되었다고 증명할 수 없습니다.

이 Windows 컴퓨터에 Clash Verge Rev 서비스가 설치된 적이 있고 현재 실행 중인 빌드가 권고의 수정 빌드인지 확인할 수 없다면, TUN을 먼저 끄고 시스템 서비스를 중지하거나 제거하세요.

프로젝트 설정에는 ‘서비스 제거’ 기능이 있습니다. 프로젝트 문서에는 Windows에서 설정 메뉴의 가상 네트워크 어댑터 옆 삭제 아이콘을 사용할 수 있다고도 나옵니다. 버전에 따라 화면 위치가 달라질 수 있으므로 현재 설치된 버전의 안내를 따르세요.

서비스 작업에는 일반적으로 관리자 승인이 필요합니다. 회사나 학교 기기에서는 권한이 있는 관리자가 수행해야 하며 시스템 디렉터리 권한을 바꿔 승인을 우회하면 안 됩니다.

프로젝트 문서에는 그래픽 앱을 닫아도 서비스 프로세스가 자동으로 종료되지 않는다고 명시되어 있습니다. 제거 후 컴퓨터를 다시 시작하고 Windows ‘서비스’ 관리 도구에서 해당 Clash Verge Rev 서비스가 다시 실행되지 않는지 확인하세요. 이름이 비슷한 다른 네트워크 서비스를 잘못 중지하지 마세요. 서비스의 정체를 확인할 수 없거나 제거에 실패했다면 이 기기로 민감한 정보를 다루지 말고 관리자에게 설치 경로를 기준으로 확인을 요청하세요.

Clash Verge Rev의 ‘정보’ 또는 버전 화면에서 전체 문자열을 기록하세요. 앞부분의 2.5.4만 적지 마세요. GHSA의 수정 빌드와 대조할 때는 주 버전, +autobuild 접미사, 마지막 식별자가 모두 일치해야 합니다. 앱에 짧은 버전 번호만 보인다면 정보가 부족하므로 서비스를 계속 중지해 두세요.

Windows ‘서비스’ 관리 도구에서 해당 서비스의 존재 여부와 실행 상태를 확인하고, 실행 파일 경로가 현재 Clash Verge Rev 설치 위치를 가리키는지도 대조하세요. 프로젝트 문서는 서비스를 독립 프로세스로 설명하므로 그래픽 앱을 업데이트하거나 종료했다는 사실만으로 백그라운드의 구버전 구성 요소가 없어졌다고 볼 수 없습니다. 버전을 확인하려고 서비스의 로컬 통신 인터페이스에 접속하거나 테스트 요청을 보내지 마세요.

알림이 없거나 프록시가 정상이더라도 이전 서비스가 실행 중일 수 있습니다. 이상이 나타나기를 기다리지 말고 서비스 관리자와 실제 파일 경로로 확인하세요.

Clash Verge Rev v2.5.5의 공식 릴리스에는 서비스 설치, 실행, 호환성과 관련된 여러 수정 사항이 나열되어 있지만, 해당 페이지는 GHSA-99qg-xv7m-jf4v를 수정 항목으로 명시하지 않습니다. ‘v2.5.5가 더 새로운 안정 버전’이라는 이유만으로 권고에 나온 정확한 수정 증거를 대신할 수 없습니다. 유지 관리자가 나중에 수정된 버전 범위를 새로 발표하면 그 공식 설명에 따라 다시 판단하세요.

앞으로 상위 프로젝트가 GHSA의 수정 버전 범위를 바꾸거나 별도의 서비스 보안 안내를 발표하면 새로운 프로젝트 공식 원문 자료로 다시 확인하세요. 관리 대상 컴퓨터에서는 서비스 업데이트를 관리자 승인 소프트웨어 업데이트 절차에 포함하고, 제거한 구버전 서비스가 자동으로 재설치되지 않았는지 정기적으로 확인하는 것이 좋습니다.

GHSA에 현재 명시된 v2.5.4+autobuild.0908.bbab52d를 명확히 확인할 수 있는 수정 빌드로 삼으세요. clash-verge-rev/clash-verge-rev 프로젝트의 공식 배포 채널에서만 설치 파일을 받고 전체 파일명, 시스템 아키텍처, 릴리스 페이지의 검증 정보를 확인하세요.

해당 빌드의 검증 가능한 공식 배포 파일을 찾을 수 없다면 구버전 서비스를 제거한 상태로 유지하고, 프로젝트 유지 관리자가 독립적으로 확인 가능한 업데이트를 제공할 때까지 기다리세요. 검색 광고, 파일 공유 링크 또는 서드파티 재패키징 파일은 사용하지 마세요.

공식 v2.5.5 릴리스는 더 새로운 설치 파일을 찾는 출발점이 될 수 있지만, 그 릴리스 노트에는 이 GHSA가 수정되었다고 직접 적혀 있지 않습니다. v2.5.5 또는 이후 안정 버전을 선택한다면 유지 관리자 권고, 해당 서비스 구성 요소, 수정 커밋 포함 여부를 별도로 확인하세요. 증거가 부족한 동안에는 높은 권한의 서비스를 다시 켜지 마세요.

설치 전 신뢰할 수 있는 Profile과 앱 설정을 백업하고 원래 설치 파일의 출처와 버전 기록을 보관하세요. 앱을 업데이트한 뒤 프로젝트 공식 절차에 따라 구버전 서비스를 처리하고 새 서비스를 설치하세요. 마지막으로 실제 실행 중인 서비스 구성 요소를 다시 확인해야 합니다. 업데이트 프로그램의 ‘완료’ 메시지만 보고 검증을 끝내지 마세요. 어떤 경우에도 구버전 백업의 서비스 실행 파일만 시스템 디렉터리로 복사하지 마세요.

서비스를 당분간 사용하지 않기로 했다면 재시작 후 서비스가 실행되지 않고 TUN도 꺼져 있는지 확인하세요. 그 서비스를 쓰지 않는 방법으로 실제 HTTPS 접속을 한 번 완료하세요. 프록시가 작동한다는 사실은 연결 경로가 복구되었음을 보여 줄 뿐, 서비스 상태 확인을 대신하지는 않습니다.

권고에 명시된 수정 빌드를 이미 설치했다면 전체 빌드 번호, 현재 서비스 파일 경로, 서비스 모드 실행 상태, 실제 연결 한 번을 함께 확인하세요. TUN이 필요한 경우에는 TUN 트래픽을 별도로 검증하세요. TUN이 필요하지 않다면 테스트만을 위해 서비스를 다시 설치할 이유가 없습니다.

취약점 재현 스크립트를 실행하거나 저권한 테스트 계정을 만들거나 알 수 없는 웹페이지가 로컬 인터페이스에 접근하게 하지 마세요. 버전, 출처, 서비스 상태와 정상 사용 요청만으로도 사용자 측 보안 업데이트 검증은 충분합니다. 실제 침해 여부는 시스템 증거를 따로 살펴야 합니다.

영향받는 버전과 실행 중인 서비스는 노출 조건이 있다는 뜻이지 누군가 이미 SYSTEM 권한을 얻었다는 뜻은 아닙니다. 알 수 없는 고권한 프로세스, 보안 소프트웨어 경고, 이상한 예약 작업, 자격 증명 변경 등 시점을 확인할 수 있는 다른 이상 징후도 있다면 기기 침해 가능성에 따라 대응하세요.

먼저 기기를 네트워크에서 격리하고 구버전 서비스를 더 이상 사용하지 마세요. 전체 버전, 서비스 경로, 이상 징후가 시작된 시각, 경고, 의심스러운 프로세스를 기록하세요. 원본 로그와 설정은 보존하고 공유용으로만 민감 정보를 가린 사본을 만드세요. 영향 범위를 판단할 증거일 수 있으므로 ‘정리’한다며 모르는 파일을 바로 삭제하지 마세요.

Windows 또는 조직이 승인한 보안 도구로 검사하고 관리자에게 시작 항목, 예약 작업 등 계속 실행될 수 있는 항목과 높은 권한으로 수행된 활동을 확인하도록 요청하세요. 구독 token, 노드 비밀번호, 브라우저 세션이나 클라우드 인증 정보가 노출되었을 수 있다면 다른 신뢰할 수 있는 기기에서 기존 인증 정보를 무효화하고 재발급하세요. 시스템 무결성을 확인할 수 없다면 신뢰할 수 있는 설치 미디어로 시스템을 재구성하고 안전함이 확인된 구성만 복원하세요.

수정 빌드를 이 기기에 설치할 수 없거나 서비스가 시작되지 않거나 TUN이 작동하지 않는다면 구버전 서비스를 계속 중지해 두세요. Clash Verge Rev의 정상적인 비서비스 방식과 시스템 프록시를 사용하거나 출처를 확인한 다른 클라이언트로 전환해 필요한 연결을 복구하세요. 시스템 프록시가 모든 앱을 처리하지는 않으므로 복구 후 실제 작업으로 검증하세요.

연결이 여전히 실패한다면 시스템 프록시가 실제로 실행 중인 로컬 포트를 가리키는지 먼저 확인하고, 현재 Profile과 노드를 점검하세요. TUN을 복구하려고 구버전 백업에서 서비스 파일을 복사하거나 권고의 영향받는 빌드로 다운그레이드하거나 서비스 디렉터리의 접근 권한을 완화하지 마세요.

프로젝트에 업데이트 문제를 보고할 때는 시스템 버전, CPU 아키텍처, 앱의 전체 빌드 번호, 서비스 상태, 첫 오류와 민감 정보를 가린 로그를 첨부하세요. 명확한 GHSA 수정 증거가 없는 새 설치 파일만 구할 수 있다면 고권한 서비스를 당분간 설치하지 말고 유지 관리자의 설명을 기다리세요.