[2019.11.04] rConfig 원격 명령어 실행 취약점 2건 (CVE-2019-16662-3)

요약

- 취약점 : rConfig 유틸리티에 패치 되지 않은 두 가지 중요한 원격 코드 실행 취약점이 존재

  인증되지 않은 원격 공격자가 대상 서버 및 연결된 네트워크 장치를 손상시킬 수 있음

* rConfig: 

네이티브 PHP로 작성된 무료 오픈 소스 네트워크 장치 구성 관리 유틸리티로 네트웍 엔지니어가 네트웍 장치의 구성 스냅 샷을 만들 수 있음.

스위치, 라우터, 방화벽,로드 밸런서, WAN 옵티 마이저 등 700백만 개 이상의 네트워크 장치를 관리하는 데 사용되고 있음.

-     익스플로잇 시도 예

GET /install/lib/ajaxHandlers/ajaxServerSettingsChk.php?rootUname=%3Becho%20-n%20HellorConfig%7Cmd5sum%20%23

공격대상 서버에 악성 OS명령을 실행하도록 조작된 GET 매개 변수를 사용하여 취약한 파일에 엑세스 함.

- 영향받는 버전 : rConfig 모든 버전

                            현재 rConfig 사에서는 3.9.2 이후 추가적인 업데이트가 진행되지 않는 것으로 확인 됨

관련 CVE정보

- ajaxServerSettingsChk.php의 인증되지 않은 RCE 

  CVE-2019-16662

  CVSS v.3.1 Base Score : 9.8

(* 설치 완료 시 의무적으로 취약 디렉토리를 지우게 되어 있어 해당 취약점에 영향을 받는 경우는 적을 것으로 추정)

- search.crud.php의 인증 된 RCE 

  CVE-2019-16663

  CVSS v3.1 Base Score : 8.8

영향성

패치 업데이트 전 사용 중지 권고

참고자료

출처 : hxxps://thehackernews.com/2019/11/rConfig-network-vulnerability.html

hxxps://www.sudokaikan.com/2019/11/cve-2019-16662-cve-2019-16663.html

hxxps://github.com/rconfig/rconfig/blob/master/www/install/lib/ajaxHandlers/ajaxServerSettingsChk.php

hxxps://github.com/rconfig/rconfig/blob/master/www/lib/crud/search.crud.php

hxxps://isc.sans.edu/diary/rss/25484