[º¸¾È´º½º ¹®°¡¿ë ±âÀÚ] ¼Ò´Ð¿ù(SonicWall)ÀÇ VPN ÀåºñÀÎ ½ÃÅ¥¾î ¸ð¹ÙÀÏ ¾×¼¼½º 100 ½Ã¸®Áî(Secure Mobile Access 100 Series)¿¡¼ Ä¡¸íÀûÀÎ À§ÇèµµÀÇ Ãë¾àÁ¡µéÀÌ ¹ß°ßµÆ´Ù. ÀÌ Ãë¾àÁ¡µéÀ» ÀͽºÇ÷ÎÀÕ ÇÒ °æ¿ì ÀÎÁõ °úÁ¤À» Åë°úÇÏÁö ¸øÇÑ ¿ø°ÝÀÇ »ç¿ëÀÚ°¡ ·çÆ® ±ÇÇÑÀ¸·Î Äڵ带 ½ÇÇàÇÒ ¼ö ÀÖ°Ô µÈ´Ù.

[À̹ÌÁö = utoimage]
½ÃÅ¥¾î ¸ð¹ÙÀÏ ¾×¼¼½º ½Ã¸®Áî´Â ±â¾÷ ³»ºÎ µðÁöÅÐ ÀÚ¿ø¿¡ ¾ÈÀüÇÏ°Ô Á¢±ÙÇÒ ¼ö ÀÖµµ·Ï ÇØ ÁÖ´Â °ÍÀ¸·Î, ¿ÂÇÁ·¹¹Ì½º, Ŭ¶ó¿ìµå, ÇÏÀ̺긮µå ¸ðµç ȯ°æ¿¡ ±¸ÃàÇÒ ¼ö ÀÖ´Ù. »ç¿ëÀÚ ±â¾÷¿¡¼´Â »ç¿ëÀÚ °³°³Àΰú Àåºñ ¾ÆÀ̵§Æ¼Æ¼, ½Å·Ú °ü°è¸¦ Á¤¸³ÇÑ ÈÄ Á¤Ã¥¿¡ ±â¹ÝÀ» µÐ Á¢±Ù Á¦¾î ±â´É±îÁö Ãß°¡ÇÒ ¼ö ÀÖ´Ù.
¹®Á¦°¡ µÇ°í ÀÖ´Â Ãë¾àÁ¡µé Áß °¡Àå À§ÇèÇÑ °ÍÀº CVE-2021-20038·Î, ÀÏÁ¾ÀÇ ½ºÅà ¹öÆÛ ¿À¹öÇ÷οì Ãë¾àÁ¡À̸ç, CVSS ±âÁØ 9.8Á¡À» ¹Þ¾Ò´Ù. ·çÆ® ±ÇÇÑÀ¸·Î Äڵ带 ½ÇÇàÇϰí, À̸¦ ÅëÇØ Àåºñ¸¦ ¿ÏÀüÈ÷ Àå¾ÇÇÏ´Â °Ô °¡´ÉÇÏ´Ù. ¿ÏÀü Àå¾Ç ÈÄ¿¡´Â º¸¾È Á¤Ã¥À» ¹«·ÂȽÃŰ°í ±ÇÇÑÀÌ ³ôÀº »ç¿ëÀÚÀÇ °èÁ¤¿¡µµ Á¢±ÙÇÒ ¼ö ÀÖ°Ô µÈ´Ù. Ãë¾àÁ¡Àº strcat() ÇÔ¼ö¿¡ ÀÖ´Â °ÍÀ¸·Î ºÐ¼®µÆ´Ù.
±× ´ÙÀ½À¸·Î CVE-2021-20045µµ À§ÇèÇÑ Ãë¾àÁ¡ÀÌ´Ù. CVSS ±âÁØ 9.4Á¡À» ¹ÞÀº Èü ¹× ½ºÅà ¹öÆÛ ¿À¹öÇ÷οì Ãë¾àÁ¡ÀÌ´Ù. ¿ª½Ã ·çÆ® ±ÇÇÑÀ» °¡Áö°í ¿ø°Ý ÄÚµå ½ÇÇàÀ» °¡´ÉÇÏ°Ô ÇØ ÁØ´Ù. ÀÌ Ãë¾àÁ¡ÀÇ °æ¿ì RAC_COPY_TO¶ó´Â ¸Þ¼Òµå¿¡¼ ¹ß°ßµÇ¾ú´Âµ¥, SMB °øÀ¯ ÀÚ¿øÀ¸·Î ¾Æ¹« ÆÄÀÏÀ̳ª ¾÷·Îµå ÇÒ ¼ö ÀÖµµ·Ï Çϱ⠶§¹®¿¡ ¹®Á¦°¡ µÈ´Ù.
CVE-2021-20043À̶ó´Â Ãë¾àÁ¡Àº CVSS ±âÁØ 8.8Á¡À» ¹ÞÀº Èü ¹öÆÛ ¿À¹öÇ÷οì Ãë¾àÁ¡ÀÌ´Ù. ·çÆ® ÃþÀ§ÀÇ ÄÚµå ½ÇÇàÀ» °¡´ÉÇÏ°Ô ÇØ ÁÖÁö¸¸, ÀÎÁõ °úÁ¤À» °ÅÃľ߸¸ ÀͽºÇ÷ÎÀÕÀÌ µÈ´Ù. getBookmarks¶ó´Â ÇÔ¼ö¿¡¼ ¹ß°ßµÆ´Ù. º¸¾È ±Ç°í¹®¿¡ µû¸£¸é RAC_GET_BOOKMARKS_HTML5 ¸Þ¼Òµå°¡ ½ÇÇàµÉ ¶§ »ç¿ëÀÚ°¡ Áñ°Üã±â ¸ñ·ÏÀ» ¿¶÷Çϵµ·Ï Çã¿ëÇÏ´Â °Ô ¹®Á¦ÀÇ ±Ù¿øÀ̶ó°í ÇÑ´Ù. ±× ¿Ü ³ª¸ÓÁö Ãë¾àÁ¡µéÀº CVSS ±âÁØ 6.3Á¡°ú 7.5Á¡ »çÀÌ¿¡ ºÐÆ÷µÇ¾î ÀÖÀ¸¸ç, ÀÎÁõ°ú °ü·ÃÀÌ ÀÖ´Ù.
ÀÌ Ãë¾àÁ¡µéÀ» ã¾Æ³½ °Ç º¸¾È ¾÷ü ¶óÇǵå7(Rapid7)ÀÇ Á¦ÀÌÄß º£ÀÎÁî(Jacob Baines)¿Í NCC±×·ì(NCC Group)ÀÇ ¸®Â÷µå ¿ö·±(Richard Warren)À̶ó°í ÇÑ´Ù. ¼Ò´Ð¿ù ÃøÀº ÆÐÄ¡°¡ °³¹ßµÅ ¹èÆ÷µÇ´Â ÁßÀ̶ó°í Çϸç Á¶¼ÓÈ÷ Àû¿ëÇÒ °ÍÀÌ ±ÇÀåµÈ´Ù°í °Á¶Çß´Ù. ¾ÆÁ÷±îÁö ÀÌ Ãë¾àÁ¡À» Ȱ¿ëÇÑ ½ÇÁ¦ ÇØÅ· °ø°Ý »ç·Ê´Â ¾ø´Â °ÍÀ¸·Î Á¶»çµÇ°í ÀÖ´Ù.
¼Ò´Ð¿ùÀÇ Á¦Ç°µéÀº »çÀ̹ö °ø°ÝÀÚµéÀÌ ÀÚÁÖ ³ë¸®´Â Ç¥ÀûÀÌ´Ù. Áö³ 3¿ù ¹Ì¶óÀÌ(Mirai) º¿³ÝÀÇ ÇÑ º¯Á¾ÀÌ ¼Ò´Ð¿ù ÀåºñµéÀ» ÀͽºÇ÷ÎÀÕ Çß¾ú°í, 7¿ù¿¡µµ »çÀ̹ö °ø°ÝÀÚµéÀº ÈÉÃij½ Å©¸®µ§¼ÈÀ» ÅëÇØ ¼Ò´Ð¿ùÀ» ¶Õ°í µé¾î°¡ ·£¼¶¿þ¾î °ø°ÝÀ» ½ÃµµÇϱ⵵ Çß¾ú´Ù. SMA 100 ½Ã¸®Áî Àåºñ¿¡¼´Â ¿ÃÇØ CVE-2021-20016À̶ó´Â Ä¡¸íÀû SQL ÁÖÀÔ Ãë¾àÁ¡ÀÌ ¹ß°ßµÇ±âµµ Çß´Ù.
3ÁÙ ¿ä¾à
1. ¼Ò´Ð¿ùÀÇ ÁÖ¿ä Á¦Ç°±º¿¡¼ Ä¡¸íÀû Ãë¾àÁ¡ Æ÷ÇÔÇÑ ´Ù¼ö ¹®Á¦Á¡ ¹ß°ßµÊ.
2. ÀÎÁõ °úÁ¤ ¶Õ°í ¿ø°Ý¿¡¼ Äڵ带 ½ÇÇàÇÏ°Ô ÇØ ÁÖ´Â Ãë¾àÁ¡.
3. ¾ÆÁ÷ ½ÇÁ¦ °ø°ÝÀº ¾ø´Â °Í °°Áö¸¸, ½Ã±ÞÈ÷ ÆÐÄ¡ÇØ¾ß ÇÒ °ÍÀ¸·Î º¸ÀÓ.
[±¹Á¦ºÎ ¹®°¡¿ë ±âÀÚ(globoan@boannews.com)]
<ÀúÀÛ±ÇÀÚ: º¸¾È´º½º(www.boannews.com) ¹«´ÜÀüÀç-Àç¹èÆ÷±ÝÁö>