보안 연구원들은 프린터, 라우터에서부터 의료 시스템, 산업 장비에까지 영향을 미치는11가지 취약성에 대한 세부사항을 오늘 공개하고 ‘Urgent11’로 명명했다.

아미스(Armis) 연구원들은 이번에 공개한 VxWorks에 영향을 미치는 11가지 취약점들에 대해서 다음 주 8일 라스베가스에서 열리는 블랙햇 보안 컨퍼런스에서 보다 심도 있게 발표할 예정이다.

이 취약점들은 윈드 리버(Wind River)가 만든 실시간 운영체제인 VxWorks에 영향을 미친다. 실시간 운영체제(RTOS)는 현대의 사물인터넷(IoT) 장치와 같이 제한된 양의 리소스에 액세스할 수 있는 칩셋에 구현되는 기능이 매우 적은 단순한 소프트웨어로, 이때 칩셋은 입출력 작업만 관리하면 될 뿐 데이트 프로세싱은 거의 없고 가상 인터페이스도 필요하지 않다.

윈드 리버 웹사이트에 따르면 모든 RTOS 버전 중 VxWorks는 20억 개 이상의 기기에 배치되어 있는 오늘날 가장 인기있는 제품으로 32년 역사에서 VxWorks에서 CVE가 할당된 취약점은 단 13개뿐이였다.

이번에 발견된 Urgent11 보안 결함은 TCP/IP(IPnet) 네트워킹 스택에 있으며, 이 스택은 VxWorks RTOS의 구성요소로 장치의 인터넷 연결 또는 로컬 네트워크의 다른 장치에 대한 연결 기능을 관리한다.

아미스 연구원들은 이 구성 요소에서 공격자가 이용할 수 있는 11가지 취약점을 발견했다. 여기에는 장치에 대한 단순 정보 유출에서부터 시스템 손상, 시스템의 완전한 통제가 가능한 취약점까지 있다.

원격코드 실행으로 이어질 수 있는 6가지 취약점은 아래와 같다.

CVE-2019-12256: IPv4 패킷 IP 옵션 파싱 과정에서의 스택오버플로우

CVE-2019-12255: 정수 오버플로우를 일으키는 TCP Urgent Pointer = 0

CVE-2019-12260: 조작된 TCP AO 옵션으로 야기되는 TCP Urgent Pointer state confusion

CVE-2019-12261: 원격 호스트에 연결되는 동안의 TCP Urgent Pointer state confusion

CVE-2019-12263: 레이스컨디션으로 야기되는 TCP Urgent Pointer state confusion

CVE-2019-12257: ipdhcpc에서의 DHCP Offer/ACK parsing 힙오버플로우

서비스 거부, 논리 에러, 정보 유출을 일으킬 수 있는 5가지 취약점은 아래와 같다.

CVE-2019-12258: 조작된 TCP 옵션을 통한 TCP connection DoS

CVE-2019-12262: 요청되지 않은 리버스 ARP 응답 처리에서의 논리결함

CVE-2019-12264: ipdhcpc DHCP 클라이언트에 의한IPv4 배치에서의 논리결함

CVE-2019-12259: IGMP parsing 에서 NULL dereference를 통한 DoS

CVE-2019-12265: IGMPv3 specific membership report를 통한 IGMP 정보 유출

이러한 취약점들은 6.5버전 이후 모든 버전의 VxWorks RTOS에 영향을 미친다. 공격 시나리오는 매우 다양하다. 일부 취약점들은 인터넷을 통해 직접 이용될 수 있는 반면 일부는 공격자가 로컬 네트워크 내에 있어야 한다. 또한 동일한 취약점이 한 장치에서는 중요하지만 다른 장치에서는 그렇지 않을 수 있다.

예를 들어 VxWorks를 실행하는 회사 방화벽이나 라우터가 손상된 경우 개인 네트워크 내의 모든 장치에 대한 액세스를 허용할 수 있어 위험도가 높다. 그러나 동일한 취약점이 산업용 PLC에서 발견되는 경우는 PLC가 보통 인터넷에 연결되지 않아 공격자가 보안 결함을 이용할 기회가 적어 위험도가 높지 않다.

각 취약성에 대한 기술 세부 정보와 각 취약성을 이용할 수 있는 다양한 시나리오에 대한 내용은 Urgent11 백서에서 확인할 수 있다. 또한 공격자가 회사를 공격하기 위해 취약점을 무기화해 잠재적으로 생산을 방해하거나 장치를 다른 공격의 시작점으로 사용할 수 있는 방법에 대한 설명을 제공하는 설명 비디오가 공개되었다.

-화이트 페이퍼 링크: https://go.armis.com/urgent11

-설명 비디오: https://youtu.be/bG6VDK_0RzU

좋은 소식은 아미스와 윈드 리버가 함께 보안결함을 해결했다는 것이다. 윈드 리버는 지난 달 Urgent11 결함에 대한 패치를 공개했다.

윈드 리버 대변인은 "이러한 취약점들은 윈드 리버 소프트웨어에만 있는 것이 아니다. IPnet 스택은 2006년 인터픽(Interpeak) 인수를 통해 받아들여졌다. 인수 이전에 스택은 다른 여러 RTOS 공급업체에 의해 광범위하게 라이선스를 부여받고 구축되었다"라고 말했다.

윈드 리버는 영향을 받은 VxWorks 버전 대부분이 현재 EOL(End-of-life) 버전이라고 말한다. 아직 유지되고 있는 버전에 대해서는 현재의 7.x를 포함한 패치를 7월 19일에 발매했다.

또한 "VxWorks의 최신 릴리즈는 취약성의 영향을 받지 않으며 VxWorks 653 및 VxWorks Cert Editioin과 같이 인증을 위해 설계된 윈드 리버의 안전-중요 제품도 영향을 받지 않는다"라고 덧붙였다.

윈드 리버는 또한 패치가 공개되기 전 실세계에서 취약성이 이용되었다는 증거를 찾지 못했다고 밝혔다.

게다가 취약점과 공격 표면은 쉽게 완화될 수 있다. 첫째 VxWorks 보안 패치를 설치하면 해커가 악용할 수 있는 모든 구멍이 닫힌다. 둘째 장치를 바로 패치할 수 없는 경우 기업은 가장 위험한 Urgent11 취약점에 대한 익스플로잇 시도를 탐지할 수 있는 특수 방화벽 서명/규칙을 배치할 수 있다.

대부분 시스템이 인터넷에 직접 노출되지 않기 때문에 Urgent11에 취약한 의료 및 산업 장비는 대부분 안전할 수 있다. 하지만 네트워크 장비는 Urgent11에 취약한 장비를 패치하는 것이 최우선 과제일 것이다. 해커들이 기업의 내부 네트워크에 접속할 수 있기 때문이다.

그러나 Urgent11에는 또 다른 큰 문제가 있다. 그것은 바로 현장에 배치된 기기들과 함께 자주 배치되는 인적, 산업적 요인이다. 까다로운 패치 및 유지 관리 일정 때문에 많은 수의 제품들이 바로 패치될 수 없다. 기업들은 패치를 설치하기 위해 생산 라인을 폐쇄했을 때 발생하는 손해를 피하려 할 것이다. 업데이트 실패로 인해 며칠 동안 생산이 중단될 수도 있기 때문이다.

또한 일부 기기 소유자는 로우 레벨의 RTOS에 대한 보안 업데이트를 수행할 수 있는 기술력을 갖추지 못할 수 있다.

지난 몇 년 동안 봇넷에 의해 이용된 모든 취약점들에서 볼 수 있듯이 IoT 기기의 보안 결함은 OS 결함보다 훨씬 오래 지속되는 경향이 있다. 윈드 리버의 패치를 적시에 출시하려는 좋은 의도에도 불구하고 Urgent11 결함은 몇 년 동안 일부 회사들을 괴롭힐 수 있다.

★정보보안 대표 미디어 데일리시큐!★