[2019.05.14] Thrangrycat – Cisco Secure Boot Hardware 변조 취약점 (CVE-2019-1649)

요약

- Thrangrycat 공격 : 

Red Balloon Security 팀은 Field Programmable Gate Array(FPGA) 비트스트림을 조작해 구성요소 안팎으로 실행되는 요소를 통해 TAm 공격 방법 발견

두 개의 취약점(CVE-2019-1649. CVE-2019-1862)을 이용한 Cisco 장비에 백도어 삽입 공격 시나리오 발표 

*TAm : Intel사의 Software Guard Extensions(SGX) 상응하는 모듈임, 2013년부터 Cisco 장비의 보안 칩으로 사용 되고 있음. 

Trust Anchor Moduel(TAm)은 Cisco 장비에서 실행되고 로드되는 부트로더(bootloader) 인증을 암호확적으로 검증하는 외부의 하드웨적으로 독립된 구성 요소에서 실행 됨.

- 취약점 : 액세스 권한을 관장하는 TAm모듈에 취약점이 존재해, 로컬 공격자가 펌웨어의 이미지를 조작 가능.

- 선행조건 : 비트스트림 조작을 위해서는 장비의 root 접근 권한이 선행 되어야 함

- 공격 시나리오 :

(1) CVE-2019-1862 취약점 공격으로 root 권한 획득 (CVE-2019-1862 취약점 포스팅 참고)

(2) CVE-2019-1649 공격으로 Tam 부트 프로세스 검증 설정을 해제하거나 보안 업데이트가 불가하도록 설정 가능

(3) Cisco 펌웨어를 조작하여, 백도어 삽입.

- 영향 받는 제품 : FPGA 기반 Tam을 사용하는 모든 Cisco 장비

  영향 받는 제품 리스트 :  아래 링크 참고
  https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190513-secureboot

- 대응방법 : 펌웨어 업데이트

관련 CVE 정보

- CVE-2019-1649

- CVSS Base Score: 6.7

참고자료

출처 : https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190513-secureboot

   https://www.zdnet.com/article/thrangrycat-flaw-lets-attackers-plant-persistent-backdoors-on-cisco-gear/

   https://www.theregister.co.uk/2019/05/13/cisco_thrangrycat_vulnerability/

   https://threatpost.com/cisco-bugs-unpatched-millions-devices/144692/