데이터센터 네트워크 관리자 플랫폼에서 세 가지 인증 우회 취약점 발견돼
취약점 자체는 1월 3일에 패치됐으나, 사용자들의 패치 적용이 늦어지고 있어

[보안뉴스 문가용 기자] 시스코의 데이터센터 네트워크 관리자(Data Center Network Manager, DCNM)에서 치명적인 위험도의 취약점과, 개념증명용 익스플로잇이 공개됐다. 이 취약점들에 대한 패치는 1월 3일에 이뤄졌으나 적용하지 않을 경우, 원격의 공격자가 엔드포인트 인증 시스템을 우회하여 높은 권한을 가지고 임의의 코드를 실행할 수 있다고 한다.


문제의 취약점은 총 세 개로 다음과 같다.
1) CVE-2019-15975
2) CVE-2019-15976
3) CVE-2019-15977
DCNM은 시스코의 NX-OS를 기반으로 한 데이터센터들을 관리하는 플랫폼이다.

이번 주 이 취약점들을 제일 먼저 발견한 보안 전문가 스티븐 실리(Steven Seeley)는 개념증명용 익스플로잇을 공개했다. 상세한 내용은 실리의 블로그(https://srcincite.io/blog/2020/01/14/busting-ciscos-beans-hardcoding-your-way-to-hell.html)를 통해 확인이 가능하다(영문).

실리의 설명에 따르면 두 개의 취약점(CVE-2019-15975와 CVE-2019-15976)은 시스코 DCNM의 REST API와 SOAP API 엔드포인트들 내에서 인증 우회를 가능케 해준다고 한다. “취약점이 존재하는 이유는, REST API와 SOAP API 사이에서 정적 암호화 키가 공유되기 때문입니다.”

세 번째 취약점인 CVE-2019-15976의 경우, 시스코는 “데이터센터 네트워크 관리자 인증 우회 취약점”이라고 묘사한다. 웹 기반의 관리자 인터페이스 내에서 발견됐으며, 익스플로잇 될 경우 원격의 공격자가 인증 시스템을 우회할 수 있게 해준다.

실리가 개념증명을 위해 익스플로잇 한 것은 윈도우용 DCNM 인스톨러와 VM웨어 서버용 DCNM ISO 가상 기기였다. 두 실험 모두에서 2019년 6월 18일에 발표된 DCNM 버전 11.2가 사용됐다. “실험 결과 모든 요소들을 통제함으로써 저만의 토큰을 조작할 수 있었고, 하드코드 된 키를 사용해 싱글사인온 토큰(ssoToken)을 생성할 수 있었습니다. 이 토큰을 통해 인증 과정을 쉽게 통과할 수 있었습니다.”

거기서부터 실리는 SOAP 요청을 /DbAdminWSService/DbAdminWS 엔드포인트로 전송할 수 있었고, 글로벌 관리자 권한을 가진 사용자를 추가해 모든 인터페이스에 접근할 수 있게 됐다고 한다.

시스코는 개념증명 코드가 공개된 지금 다시 한 번 패치를 적용하라고 고객들에게 권고하기 시작했다. “DCNM 사용자들이라면 1월 3일 시스코가 발표한 패치를 반드시 적용하시기 바랍니다. 시스템 업데이트가 이뤄지지 않으면 공개된 익스플로잇 코드를 응용한 사이버 범죄자들의 공격이 이어질 것입니다.”

시스코는 다시 한 번 권고문을 최신화 해 “개념증명 코드가 공개된 건 사이버 공격자들이 제일 먼저 알아차린다”며 “데이터센터에 누군가 불법적으로 침투하는 걸 막으려면 반드시 패치를 설치해야 한다”고 강조했다.

3줄 요약
1. 시스코의 데이터센터 관리 프로그램에서 치명적인 취약점 3개 나옴.
2. 취약점 발견자가 최근에 개념증명용 익스플로잇 코드도 공개함.
3. 시스코는 다시 한 번 “반드시 패치하라”라는 보안 권고문 내보냄.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>