해외 보안 트렌드

요약

-  FaceTime 특징(feature) :  연결 속도를 높이기 위해, 전화를 걸자마자 모든 음성과 영상 데이트 전송은 시작됨. 하지만 음소거 상태임.

수신자가 ‘수락’ 버튼을 누르자마자 음소거 기능 해제되고 영상 통화가 됨.

- 로직 에러: 아이폰의 FaceTime (영상통화)의 영상 통화 기능에 로직 에러 존재.

º 음성 유출 :  발신자가 영상 통화를 수신자에 건 후, 자기 자신을 제 3의 수신자로 추가하면, 영상통화 앱은 이를 컨버런스 콜로 인식해 

 아직 영상통화 수락을 하지 않은 수신자의 음성이 발신자에게 유출 됨. 

º 영상 유출 : 위와 같은 컨퍼런스 콜 요청이 이루어질 때, 수신자가 수신을 거부 또는 무시하기 위해 전원버튼을 누를 시, 

수신자의 영상이 발신자에게 유출 됨

- 영향성 : 발신자에 수신자의 음성과 영상이 전달되는 동안 수신자는 알 수 없음.

- 영향받는 제품: iOS 12.1 탑재 Apple 기기

- 대응방안 : FaceTime 기능을 꺼두는 것이 가장 안전.  

*현재 패치는 발표 되지 않았으며, Apple은 Group FaceTime 기능을 서비스 중지함.

영향성

Apple은 패치를 이번 주 후반에 발표할 예정

참고자료

Apple 공식 사이트 :https://www.apple.com/support/systemstatus/

출처 : https://www.hackread.com/facetime-bug-exposes-audio-video-calls/

  https://www.theguardian.com/technology/2019/jan/29/facetime-security-bug-apple-privacy-iphone

  https://www.theverge.com/2019/1/28/18201383/apple-facetime-bug-iphone-eavesdrop-listen-in-remote-call-security-issue

요약

*Total Donations : 온라인 기부 플러그인. 캠페인과 업무관리 기능 및 기부 진행 사항을 바 그래프로 나타낼 수 있는 옵션 제공. 

- 취약점 : 비인가 사용자가 /wp-admin/admin-ajax.php에 요청을 보내 miglaA_update_me 작업을 호출하여 임의의 WordPress 옵션을 변경 가능.

        관리자 권한으로 새로운 사용자를 등록하고, 등록한 새 계정에 관리자 권한 부여 가능

        (플러그인 설치 시 88개의 ajax작업이 등록되는데, 이 모든 ajax작업에 대해 접근 가능)

- 위 취약점 외에도 ‘비공개/게시되지 않은 포스트에 대한 비인가 접근 허락, SQL 인젝션, 임의의 주소로 test 이메일 발송 허용

  (DoS 공격에 사용 가능)’ 취약점을 가지고 있음

  º Total Donations 플러그인에 대한 모든 취약점을 종합적으로 다루기 위해 CVE코드 부여(CVE-2019-6703)

- 영향성 : 현재 해당 취약점을 이용한 공격이 이루어지고 있음.

- 대응 방안 : 해당 플러그인을 사용하는 웹사이트는 즉시 삭제 필요.

                (해당 취약점에 대한 대응을 위해 플러그인 개발사와 연락을 취하였으나, 회신을 받지 못하였고, 개발사 측에서 패치 발표 등의 

                보안 대응도 하지 않고 있음.)

관련 CVE정보

- CVE-2019-6703

영향성

해당 플러그인을 사용할 시 삭제 요망

참고자료

Wordfence Threat Intelligence 보고서 : https://www.wordfence.com/blog/2019/01/wordpress-sites-compromised-via-zero-day-vulnerabilities-in-total-donations-plugin/

출처 : https://www.securityweek.com/zero-days-wordpress-plugin-actively-exploited

   https://nvd.nist.gov/vuln/detail/CVE-2019-6703

요약

- 지난 금요일 보안 전문가 David Davidson이 Cisco RV320와 RV325의 취약점에 대한 PoC를 공개하자마자 공격 개시

- CVE-2019-1653을 이용해 장비의 설정 정보를 획득한 후 CVE-2019-1652를 이용해 추가 명령어를 실행하여 취약장비을 완전히 제어.

º Cisco Small Business RV32/RV325 라우터 정보 노출 취약점 (CVE-2019-1653) :  원격 공격자는 비밀번호없이 민감한 장비 설정 정보를 획들 할 수 있음

º Cisco Small Business RV320/RV325 라우터 명령어 삽입 취약점 (CVE-2019-1652) : 원격 공격자는 비밀번호없이 장비에 관리자 명령어를 삽입하거나 실행할 수 있음.

- 위의 취약점에 대해 Cisco는 1/23일 패치 발표

- 취약한 장비들의 대부분은 미국 ISP 소속

관련 CVE정보

- CVE-2019-1653 (CVSS Score: Base 7.5)

- CVE-2019-1652 (CVSS Score: Base 7.2)

- PoC: https://github.com/0x27/CiscoRV320Dump

참고자료

Cisco 취약점 공지 : https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190123-rv-inject

   https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190123-rv-inject

출처 :  https://www.zdnet.com/article/hackers-are-going-after-cisco-rv320rv325-routers-using-a-new-exploit/#ftag=RSSbaffb68

    https://badpackets.net/over-9000-cisco-rv320-rv325-routers-vulnerable-to-cve-2019-1653/

    https://www.redteam-pentesting.de/en/advisories/rt-sa-2018-002/-cisco-rv320-unauthenticated-configuration-export

    https://www.redteam-pentesting.de/en/advisories/rt-sa-2018-003/-cisco-rv320-unauthenticated-diagnostic-data-retrieval

요약

- 취약점 : SD-WAN 솔루션의 vContainerDP 취약점이 존재. 인증을 받은 원격 공격자는 Denial of Service(Dos) 상태를 유발 할 수 있고, 

             root 권한으로 임의의 코드 실행 가능.

       (공격자는 취약한 vContainer 인스턴트에 악성 파일을 보내며, 공격으로 인해 해당 인스턴스에 버퍼 오버플로우를 발생하고 최종적으로 

         root 권한으로 임의의 코드를 실행할 수 있는 DoS 상태 유발) 

- 취약원인 : vContainer 인스턴스가 부절절한 영역 검사로 발생.

- 영향받는 제품 : Cisco vSmart Controller Software 중 Cisco SD-WAN Solution 18.4.0 이하 버전 사용 경우

- 대응방안 : 소프트웨어 업데이트 실시

관련 CVE정보

-CVE-2019-1651

-CVSS 3.0 Base Score : 9.9

참고자료

출처 : https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190123-sdwan-bo

요약

- 메이저 리눅스 배포판에서  많이 사용되는 Advanced Package Tool(APT) 패키지에 원격코드 실행 취약점 존재.

*APT : 데비안, 우분트를 포함한 다양한 리눅스 배포판에 소프트웨어 설치, 업데이트, 삭제를 담당하는 유틸리티. 

HTTP 리다이렉션은 apt-get 명령어가 리눅스 머신이 미러 가능한 서버에 자동으로 패키지를 요청하는 동안 발생. 

1번째 서버가 실패할 시, apt는 클라이언트가 다음으로 패키지를 요청해야 할 서버 주소를 응답 값으로 돌려 줌.

- 취약점 : 공격자는 APT 유틸리티와 미러 서버간의 HTTP 트래픽을 가로채 악성 코드 삽입이 가능하며 시스템에 변조된 패키지를 설치하고 root 권환으로 임의의 코드를 실행하도록 할 수 있음

- 취약원인 : HTTP 리다이렉션 과정 중 특정 파라미터에 대한 부적절한 검증 발생

- 영향 받는 제품: Debian, Ubuntu

- 대응방안 : 최신 APT 패키지 (1.4.9  이상 버전)으로 업그레이드 

(취약점이 패키지 메니저 자체에 존재 하기 때문에, 업그레이드 중 피해를 막기 위해 아래의 명령어를 이용해 리다이렉트를 disable 할 것을 권고)

apt -o Acquire::http::AllowRedirect=false update

apt -o Acquire::http::AllowRedirect=false upgrade

관련 CVE정보

- CVE-2019-3462

- CVSS 3.0 score : 8.1

- PoC : https://justi.cz/security/2019/01/22/apt-rce.html

참고자료

출처 : https://thehackernews.com/2019/01/linux-apt-http-hacking.html

   https://www.bleepingcomputer.com/news/security/remote-code-execution-bug-patched-in-apt-linux-package-manager/

요약

*ES File Explorer : 로컬, 네트워크 연결을 통해 다양한 파일들을 관리할 수 있는 안드로이드 앱. 이더넷을 이용 컴퓨터, 테블릿 등의 파일을 원격으로 접근가능.

무료 앱으로 널리 사용되고 있음. 실행 시 59777 포트 사용 

- 취약점 : ES File Explorer 앱 사용 안드로이드 장비와 동일한 포트에 연결되어 있는 장비들의 데이터 접근 가능.

- 선행조건 : 공격자는 네트워크 인증을 거치고 목표 장비가 같은 네트워크에 연결돼 있어야 함.

- 영향성 : 동일 네트워크 장비의 데이터 유출이 취약하나, 해당 앱으로 컴퓨터의 파일을 원격으로 관리할 수도 있어 주의 필요.

- 영향 받는 제품 : ES File Explorer 4.1.9.7.4 이하 버전 

- 대응 방안 :  현재(2019.1.17 15:20) 없음

관련 CVE정보

- CVE-2019-6447

- PoC : https://github.com/fs0c131y/ESFileExplorerOpenPortVuln

참고자료

출처 : https://techcrunch.com/2019/01/16/android-app-es-file-explorer-expose-data/

요약

*SCP(Session Control Protocol, Secure Copy Protocol) : 로컬 호스트와 RCP(Remote Copy Protocol)와 SSH 프로토콜을 이용하는 원격 호스트간의 파일을 전송 시 사용 됨.

1983년에 개발됨. 당시 보안이 강화된 RCP로 소개되며 서버와 클라이언트 사이에 파일을 전송하는데 SSH의 인증과 인크립션 기능을 사용함.

- 취약점 : SCP클라이언트의 불충분한 검증 때문에 발생. 악성 서버나 MiTM(man-in-the-middle)공격에 악용 가능하며, 공격자는 클라이언트의 시스템에 임의의 파일을 전송(drop)하거나 덮어쓸(overwrite) 수 있음

- SCP 클라이언트 부적절한 이름 검증 (CVE-2018-20685) : 원격 SCP 서버가 빈(‘D0777 0 \n’) 또는 점(‘D0777 0 .\n’) 디렉토리 이름을 사용해 목표 디렉토리의 권한을 변경할 수 있음

- SCP 클라이언트 송신받은 오브젝트 이름 검증 미존재 (CVE-2019-6111) : 악성 SCP 서버는 SCP 클라이언트의 목표 디렉토리에 임의의 파일을 덮어 쓸 수 있음. 재귀 명령어(-r)이 작동 시, 서버는 서브 디렉토리 또한 조작할 수 있음

- SCP 클라이언트 오브젝트 이름 이용 스푸핑 (CVE-2019-6109) : 진행 화면에 문자 인코딩이 존재하지 않아 ANSI 코드를 이용해 추가 파일들이 전송되는 것을 감추는 등의 클라이언트 아웃풋 조작 가능.

- SCP 클라이언트 stderr을 통한 스푸핑(CVE-2019-6110) : 악성 SCP 서버가 클라이언트의 아웃풋 조작할 수 있음

- 공격 시나리오 예 : 공격자가 컨트롤 하는 서버가 공격목표 대상의 홈 디렉토리에 .bash_aliases 파일을 전송하여 리눅스 유저가 새로운 쉘을 실행 시 악의적인 명령들을 실행하게 함.

- 영향 받는 제품 : SCP프로토콜을 사용하는 모든 제품 ex) OpenSSH, Putty, WinSCP

- 대응 방안 : 일부 취약점에 대한 패치 (WinSCP 5.14 이후버전으로 업데이트/OpenSSH 비공식 패치 존재) 또는 SCP 대신 SFTP(보안이 강화된 FTP)를 사용하도록 설정

관련 CVE정보

- CVE-2018-20685 : SCP client improper directory name validation

- CVE-2019-6111 : SCP client missing received object name validation

- CVE-2019-6109 : SCP client spoofing via object name

- CVE-2019-6110 : SCP client spoofing via stderr

- PoC : https://sintonen.fi/advisories/scp-client-multiple-vulnerabilities.txt

참고자료

연구진 분석 : https://sintonen.fi/advisories/scp-client-multiple-vulnerabilities.txt

출처 : https://thehackernews.com/2019/01/scp-software-vulnerabilities.html

요약

- Systemd : 유명한 init 시스템으로 대부분의 Linux 운영체제의 서비스 매니저로 사용됨 

- 취약점: 다양한 소스에서 정보를 수집하고 이벤트 로그를 기록하는 ’system-journald’에 취약점 존재. 

syslog 함수를 부를 때 발생하는 메모리 변형으로 인해 Denial of Service 취약점 발생

로컬 공격자는 특수하게 가공한 명령어를 보내 Denial of Service 상태를 유발할 수 있음

(Stack Clash(악성코드 혹은 권한이 낮은 사용자가 root로 권한 상승가능)취약점과 유사함)

- 취약 대상 : Linux Redhat, Debian

- 대응 방안 : system 최신 버전으로 업그레이드

관련 CVE정보

- CVE-2018-16864

- CVSS Score: Base 6.2

- PoC : https://www.qualys.com/2019/01/09/system-down/system-down.txt

참고자료

출처: https://thehackernews.com/2019/01/linux-systemd-exploit.html

  https://www.bleepingcomputer.com/news/security/linux-systemd-affected-by-memory-corruption-vulnerabilities-no-patches-yet/