시스코의 장비에서 발견된 세 가지 취약점...불법 접근과 디도스 공격 유발
CVE-2019-15260이 치명적인 취약점...환경설정의 일부 요소 조작하게 해줘[보안뉴스 문가용 기자] 네트워크 보안 업체인 시스코(Cisco)가 미국 현지 시각으로 수요일 자사에서 출시한 에어로넷(Aironet)이라는 접근점 제품에서 치명적인 취약점을 발견했다고 발표했다. 이를 익스플로잇 할 경우 원격의 공격자가 장비에 접근할 수 있게 된다고 한다.
[이미지 = iclickart]
이 취약점은 CVE-2019-15260으로, 일부 URL에 대한 접근 제어 기능이 불충분해서 생기는 것이라고 한다. 이를 이용하면 공격자가 장비에 접근해 권한을 상승시킬 수 있게 된다. 권한을 상승시킬 때, 취약점을 유발시키는 URL들에 대한 요청만 전송시키면 된다고 한다.
“공격자가 모든 설정 옵션을 다 조작할 수 있게 되는 건 아닙니다. 하지만 민감한 정보를 열람하거나, 일부 설정 값들을 변경할 수는 있습니다. 무선망 설정 내용도 공격자가 임의로 조작할 수 있게 돼 꽤 위험해질 수 있습니다. 심지어 접근점을 비활성화시킴으로써 디도스 공격 효과도 일으킬 수 있고요.” 시스코가 권고 사항을 통해 밝힌 내용이다.
취약점이 발견된 장비는 에어로넷 1540, 1560, 1800, 2800, 3800, 4800 시리즈다. 패치가 포함된 버전은 8.5.151.0, 8.8.125.0, 8.9.111.0이다. 시스코는 “고객 지원과 관련된 업무를 수행 중에 발견된 취약점이며, 아직 공격자들이 먼저 발견해 악의적으로 활용했다는 증거는 없다”고 설명했다.
시스코가 공개한 바에 따르면 에어로넷 접근점 장비들에서 발견된 취약점은 두 개가 더 있다. 고위험군에 속하며, 인증 과정을 통과하지 않은 공격자들이 익스플로잇 해서 디도스 공격을 실시할 수 있게 해준다. 하나는 PPTP(Point-to-Point Tunneling Protocol)라는 VPN 패킷 기능에 영향을 주고, 다른 하나는 CAPWAP(Control and Provisioning of Wireless Access Points) 프로토콜에 영향을 주는 것으로 알려져 있다.
그 외에도 시스코는 다른 제품군에서 발견된 고위험군 취약점을 추가로 공개하기도 했다.
1) SPA100 시리즈 아날로그 전화기 어댑터(Analog Telephone Adapter)의 원격 코드 실행 취약점.
2) 무선 LAN 컨트롤러(Wireless LAN Controller) 소프트웨어의 디도스 취약점.
3) 소기업 스마트 앤 매이지드 스위치(Small Business Smart and Managed Switch)에서의 CSRF 취약점.
SPA100 취약점을 제외하고는 인증 과정을 거친 자들만이 익스플로잇이 가능하다. 또한 SPA100에서의 취약점만 원격 익스플로잇이 불가능하다. 아직 SPA100 취약점에 대한 패치는 발표되지 않고 있는 상황이다. 시스코는 “현재 개발 중에 있다”고 발표했다.
3줄 요약
1. 시스코의 AP 제품에서 치명적 취약점 한 개와 고위험군 취약점 세 개 발견됨.
2. 치명적인 취약점은 원격 장비 접근 가능케 해주고,
3. 고위험군 취약점은 디도스 공격 가능케 해주고.
[국제부 문가용 기자(globoan@boannews.com)]
[출처 : 보안뉴스(https://www.boannews.com), https://www.boannews.com/media/view.asp?idx=83861&page=1&kind=1]
