.jpg)
누오의 소프트웨어에서 나타난 취약점...CVSS 점수 만점 받아
취약점의 개념증명까지 성공...거기에다가 기묘한 백도어도 추가로 나타나
[보안뉴스 문가용 기자] 누오(NUUO)의 소프트웨어에서 치명적인 취약점이 발견됐다. 이 취약점을 익스플로잇 할 경우 공격자들은 원격에서 영상 피드를 열람하고, 수십만 대의 감시 카메라에 저장된 기록물을 훼손시킬 수 있게 된다고 한다. 보안 업체 테너블(Tenable)이 이에 대해 발표했다.
테너블은 이 취약점에 피카부(Peekaboo)라는 이름을 붙였다. 현재까지 약 100개 브랜드의 2500개 카메라 기종이 이 취약점에 영향을 받는 것으로 나타났다. 이 기종들 모두 누오의 소프트웨어를 탑재하고 있기 때문이다. 피카부를 통해 사용자 이름과 비밀번호를 탈취한 공격자들은 카메라를 조작하거나 마비시키는 게 가능하다.
누오의 소프트웨어 및 장비들은 웹 기반 영상 모니터링 및 감시 시스템에서 전 세계적으로 널리 사용되고 있다. 도소매 매장, 운송 사업장, 교육 현장, 정부 기관, 은행 등 사용처도 다양하다. 취약점이 위치하고 있는 곳은 네트워크에 연결된 스토리지 및 네트워크 영상 기록 장비인 NVRMini 2이다.
피카부 취약점에는 CVE-2018-1149라는 번호가 부여됐으며, 그 정체는 비승인 스택 버퍼 오버플로우(unauthenticated stack buffer overflow)인 것으로 결론 났다. 원격 코드 실행을 가능케 해주며, CVSS 점수를 무려 10점이나 받았다. 치명적인 취약점 중에서도 꽤나 위험한 축에 속한다는 것이다.
테너블은 “피카부 취약점을 공격한 사이버 범죄자들은 제어 관리 시스템(CMS)에 접근할 수 있게 되는데, 여기까지 도달하면 모든 연결된 영상 감시 카메라의 크리덴셜이 노출되게 된다”고 설명한다. “거기다가 NVRMini2 장비로의 루트 접근 권한을 사용하면 사이버 범죄자들이 라이브 피드의 연결을 해제하거나 보안 영상을 훼손시킬 수 있습니다.”
NVR2Mini2 장비의 펌웨어가 문제였다. 특히 3.9.0 이전 버전들에서 피카부가 발견되었다고 한다. 게다가 아직까지도 패치가 나오지 않은 상황이다. 테너블은 “현재 패치가 개발 중인 것으로 알고 있다”며 “누오 NVRMini2 사용자들이라면 접근 권한을 엄격하게 조정해야 한다”고 권장했다. “누오 NVRMini2에 신뢰된 사람들만이 접근할 수 있도록 설정을 바꾸세요. 당장은 그것만이 답입니다.”
테너블은 “NVRMini2가 인터넷에 직접 연결되어 있을 때가 가장 위험하다”며, 그러한 사용자들이 있다면 “다소 불편하더라도 인터넷 연결을 끊고 패치를 기다려야 한다”고 경고하기도 했다.
취약점이 나타나는 이유는 공통 게이트웨이 인터페이스(CGI) 프로토콜을 통해, 실행 가능한 바이너리들을 지원하는 오픈소스 웹 서버가 사용되었기 때문이다. CGI 바이너리들 중 하나인 cgi_system은 다양한 명령어를 처리하는데, 이에 대한 전제 조건은 사용자가 승인을 받아야 한다는 것이다. 하지만 쿠키 매개변수의 세션 ID 크기가 승인 과정 중에 확인되지 않는다. 그러므로 sprintf 함수에서 스택 버퍼 오버플로우 현상이 발생한다.
피카부의 익스플로잇은 결국 루트 혹은 관리자 권한을 가진 해커의 원격 코드 실행으로 이어진다. 테너블은 개념증명용 코드를 만드는 데 성공했고, 이를 현재 깃허브(GitHub)를 통해 공개한 상태다.
피카부뿐만 아니라 테너블은 남겨진 디버그 코드에서 백도어를 발견하기도 했다. 이에는 CVE-2018-1150이라는 관리 번호가 붙었고, CVSS 점수로 4.0점을 받았다. /tmp/moses라는 이름의 파일이 존재할 경우 백도어의 활성화가 가능해진다고 한다.
“이 백도어는 사용자의 모든 계정을 목록화할 수 있으며, 어떤 계정의 비밀번호라도 변경시킬 수 있게 해줍니다. 이 백도어를 남용할 경우 공격자는 카메라 피드와 CCTV 기록물들을 열람할 수 있으며, 보안 시스템에서 카메라를 아예 마비시킴으로써 사실상 삭제시킬 수도 있습니다.”
테너블은 이 백도어의 정체에 대해 아직 분석을 다 마치지 못한 상태다. “이것이 실수나 우연으로 남겨진 것인지, 누군가 악의적으로 첨부한 것인지 파악하기가 힘듭니다. 이 백도어를 활용하려면 일단 /tmp/moses라는 파일을 만들어야 하는데, 그렇게 하려면 미리 침투에 성공해 있어야 합니다. 이러한 백도어가 난독화도 되어있지 않은 채 버젓이 존재하고 있다는 건 수수께끼 같은 일입니다.”
3줄 요약
1. 널리 사용되는 네트워크 카메라 장비 및 소프트웨어에서 취약점 발견.
2. 스택 버퍼 오버플로우 취약점으로, 결국에는 원격 코드 실행으로도 이어질 수 있음.
3. 또한 수수께끼 같은 백도어도 하나 추가로 발견됨.
[국제부 문가용 기자(globoan@boannews.com)]
취약점의 개념증명까지 성공...거기에다가 기묘한 백도어도 추가로 나타나
[보안뉴스 문가용 기자] 누오(NUUO)의 소프트웨어에서 치명적인 취약점이 발견됐다. 이 취약점을 익스플로잇 할 경우 공격자들은 원격에서 영상 피드를 열람하고, 수십만 대의 감시 카메라에 저장된 기록물을 훼손시킬 수 있게 된다고 한다. 보안 업체 테너블(Tenable)이 이에 대해 발표했다.
[이미지 = iclickart]
테너블은 이 취약점에 피카부(Peekaboo)라는 이름을 붙였다. 현재까지 약 100개 브랜드의 2500개 카메라 기종이 이 취약점에 영향을 받는 것으로 나타났다. 이 기종들 모두 누오의 소프트웨어를 탑재하고 있기 때문이다. 피카부를 통해 사용자 이름과 비밀번호를 탈취한 공격자들은 카메라를 조작하거나 마비시키는 게 가능하다.
누오의 소프트웨어 및 장비들은 웹 기반 영상 모니터링 및 감시 시스템에서 전 세계적으로 널리 사용되고 있다. 도소매 매장, 운송 사업장, 교육 현장, 정부 기관, 은행 등 사용처도 다양하다. 취약점이 위치하고 있는 곳은 네트워크에 연결된 스토리지 및 네트워크 영상 기록 장비인 NVRMini 2이다.
피카부 취약점에는 CVE-2018-1149라는 번호가 부여됐으며, 그 정체는 비승인 스택 버퍼 오버플로우(unauthenticated stack buffer overflow)인 것으로 결론 났다. 원격 코드 실행을 가능케 해주며, CVSS 점수를 무려 10점이나 받았다. 치명적인 취약점 중에서도 꽤나 위험한 축에 속한다는 것이다.
테너블은 “피카부 취약점을 공격한 사이버 범죄자들은 제어 관리 시스템(CMS)에 접근할 수 있게 되는데, 여기까지 도달하면 모든 연결된 영상 감시 카메라의 크리덴셜이 노출되게 된다”고 설명한다. “거기다가 NVRMini2 장비로의 루트 접근 권한을 사용하면 사이버 범죄자들이 라이브 피드의 연결을 해제하거나 보안 영상을 훼손시킬 수 있습니다.”
NVR2Mini2 장비의 펌웨어가 문제였다. 특히 3.9.0 이전 버전들에서 피카부가 발견되었다고 한다. 게다가 아직까지도 패치가 나오지 않은 상황이다. 테너블은 “현재 패치가 개발 중인 것으로 알고 있다”며 “누오 NVRMini2 사용자들이라면 접근 권한을 엄격하게 조정해야 한다”고 권장했다. “누오 NVRMini2에 신뢰된 사람들만이 접근할 수 있도록 설정을 바꾸세요. 당장은 그것만이 답입니다.”
테너블은 “NVRMini2가 인터넷에 직접 연결되어 있을 때가 가장 위험하다”며, 그러한 사용자들이 있다면 “다소 불편하더라도 인터넷 연결을 끊고 패치를 기다려야 한다”고 경고하기도 했다.
취약점이 나타나는 이유는 공통 게이트웨이 인터페이스(CGI) 프로토콜을 통해, 실행 가능한 바이너리들을 지원하는 오픈소스 웹 서버가 사용되었기 때문이다. CGI 바이너리들 중 하나인 cgi_system은 다양한 명령어를 처리하는데, 이에 대한 전제 조건은 사용자가 승인을 받아야 한다는 것이다. 하지만 쿠키 매개변수의 세션 ID 크기가 승인 과정 중에 확인되지 않는다. 그러므로 sprintf 함수에서 스택 버퍼 오버플로우 현상이 발생한다.
피카부의 익스플로잇은 결국 루트 혹은 관리자 권한을 가진 해커의 원격 코드 실행으로 이어진다. 테너블은 개념증명용 코드를 만드는 데 성공했고, 이를 현재 깃허브(GitHub)를 통해 공개한 상태다.
피카부뿐만 아니라 테너블은 남겨진 디버그 코드에서 백도어를 발견하기도 했다. 이에는 CVE-2018-1150이라는 관리 번호가 붙었고, CVSS 점수로 4.0점을 받았다. /tmp/moses라는 이름의 파일이 존재할 경우 백도어의 활성화가 가능해진다고 한다.
“이 백도어는 사용자의 모든 계정을 목록화할 수 있으며, 어떤 계정의 비밀번호라도 변경시킬 수 있게 해줍니다. 이 백도어를 남용할 경우 공격자는 카메라 피드와 CCTV 기록물들을 열람할 수 있으며, 보안 시스템에서 카메라를 아예 마비시킴으로써 사실상 삭제시킬 수도 있습니다.”
테너블은 이 백도어의 정체에 대해 아직 분석을 다 마치지 못한 상태다. “이것이 실수나 우연으로 남겨진 것인지, 누군가 악의적으로 첨부한 것인지 파악하기가 힘듭니다. 이 백도어를 활용하려면 일단 /tmp/moses라는 파일을 만들어야 하는데, 그렇게 하려면 미리 침투에 성공해 있어야 합니다. 이러한 백도어가 난독화도 되어있지 않은 채 버젓이 존재하고 있다는 건 수수께끼 같은 일입니다.”
3줄 요약
1. 널리 사용되는 네트워크 카메라 장비 및 소프트웨어에서 취약점 발견.
2. 스택 버퍼 오버플로우 취약점으로, 결국에는 원격 코드 실행으로도 이어질 수 있음.
3. 또한 수수께끼 같은 백도어도 하나 추가로 발견됨.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-04-15] 
.jpg)
