시스코 제품, 인증되지 않은 임의 파일 업로드 취약점 발견

Cisco Unity Connection에서 발생하는 인증되지 않은 임의 파일 업로드 취약점 발견
Cisco Unity Connection 12.5 이하, 14 버전 사용자는 보안 업데이트 해야

[보안뉴스 김경애 기자] 글로벌 기업 시스코(Cisco) 제품에서 인증되지 않은 임의 파일 업로드 취약점이 발견돼 이용자들의 각별한 주의가 요구된다. 이용자는 해결방안에 따라 최신 버전으로 업데이트해야 한다.

[이미지=sec cloudapps cisco 홈페이지]

이번에 발견된 취약점은 Cisco Unity Connection에서 발생하는 인증되지 않은 임의 파일 업로드 취약점(CVE-2024-20272)이다.

해당 취약점의 위험성에 대해 시스코는 “Cisco Unity Connection의 웹 기반 관리 인터페이스에 취약점이 있다”며 “인증되지 않은 원격 공격자가 영향을 받는 시스템에 임의 파일을 업로드하고 기본 운영체제에서 명령을 실행할 수 있다”고 밝혔다.

이어 시스코는 “이 취약점은 특정 API의 인증 미흡 및 사용자 제공 데이터의 잘못된 유효성 검사로 인해 발생한다”며 “공격자는 영향을 받는 시스템에 임의 파일을 업로드해 해당 취약점을 이용할 수 있다”며 주의를 당부했다.

공격에 성공하면 공격자는 시스템에 악성 파일을 저장하고 운영체제에서 임의 명령을 실행할 수 있으며, 루트 권한으로 상승시킬 수 있는 것으로 알려졌다.

이에 대해 시스코는 취약점을 해결한 보안 업데이트를 발표했다. 따라서 영향을 받는 버전을 사용 중인 사용자는 패치된 최신 버전으로 업데이트 해야 한다. 영향을 받는 제품 및 버전은 Cisco Unity Connection 12.5 이하 및 14 버전이다. 12.5 이하는 해결 버전 12.5.1.19017-4로, 14는 14.0.1.14006-5로 반드시 보안 업데이트를 해야 한다.

한국인터넷진흥원 이창용 팀장은 “해당 취약점은 위험도가 높은 편인 만큼 보안 취약점에 노출되지 않도록 빠르게 패치를 적용해야 한다”고 강조했다.
[김경애 기자(boan3@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)