Home > 전체기사
하니웰의 노티파이어넷 웹 서버에서 취약점 2개 발견
  |  입력 : 2020-02-25 13:12
페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기
취약점 발견자와 제조사 등의 평가는 갈리고 있어...중간 위험군 혹은 치명적 위험군
첫 번째 취약점 통해 인증 장치 우회하고, 두 번째 취약점 통해 중요 정보에 접근


[보안뉴스 문가용 기자] 하니웰(Honeywell)이 꽤나 위험할 수 있는 취약점에 대한 패치를 발표했다. 문제가 발견된 건 하니웰의 노티파이어넷 웹 서버(NOTI-FIRE-NET 웹 서버, NWS-3)이며, 발견자는 산업 사이버 보안 전문 업체 어플라이드 리스크(Applied Risk)의 연구원인 교코 크리스틱(Gjoko Krstic)이다.

[이미지 = iclickart]


취약점 현황은 다음과 같다.
1) CVE-2020-6972 : 인증 우회 취약점
2) CVE-2020-6974 : 정보 노출 취약점

노티파이어넷의 인터페이스를 통해 사용자 조직은 여러 개의 스마트 화재 경보 제어판을 한 개의 네트워크에 연결시킬 수 있게 된다. 웹 서버를 통해 이 한 개의 네트워크에 원격에서 접근할 경우, 사용자들은 사건 발생 히스토리와 상태, 장비 특성 등의 정보를 열람할 수 있게 된다.

크리스틱은 웹 서버에 있는 취약점 때문에 공격자가 인증 과정을 우회할 수 있다며 그 방법에 대해 다음과 같이 설명했다. “인증 요청에 대해 서버가 내보내는 응답이 있습니다. 공격자는 그 응답을 중간에서 가로채 내용을 변경시킬 수 있습니다. 즉 ‘로그인 실패’와 같은 오류 메시지를 ‘로그인 성공’으로 바꿔주는 식인 거죠. 그런데 이것만으로 공격자는 정말로 로그인에 성공할 수 있습니다.” 이것이 첫 번째 취약점에 대한 내용이다.

두 번째 취약점은 데이터베이스 백업 파일 생성과 관련되어 있다. 생성되는 파일의 이름이 매우 유추하기 쉽다는 것이 정확한 내용이다. “해당 데이터베이스 백업 파일에는 사용자 이름, 비밀번호 해시 등과 같은 민감한 정보가 가득 저장되어 있습니다. 이 정보만 있으면 약간의 추가 조작을 통해 공격자가 장비 통제권을 완전히 가져올 수 있게 됩니다.”

크리스틱은 “간단히 쇼단에서 검색했을 때 인터넷에 노출된 취약한 노티파이어넷 웹 서버가 여섯 개 있는 것으로 나온다”고 말한다.

어플라이드 리스크 측은 보안 권고문을 통해 “이 취약점은 중간 위험군이나 고위험군에 속한다”고 분석했다. 그러나 미국 국토안보부의 CISA와 하니웰 측은 “치명적 위험군”에 속하는 것으로 결론을 내리고 있다.

이에 하니웰은 4.51 버전으로 업데이트 된 펌웨어를 배포하기 시작했다. 크리스틱이 하니웰에 취약점 보고서를 제출하고서 약 4개월이 지난 시점이었다. 크리스틱은 아직까지 새로 나온 패치를 분석하거나 실험해 보지 않았다고 한다.

패치에 더해 하니웰은 고객들에게 다음과 같은 보안 실천 사항을 안내하기도 했다.
1) 인터넷으로부터 시스템을 분리한다.
2) 원격에서 연결을 할 때는 반드시 VPN을 사용한다.
3) 비밀번호는 강력하게 설정한다.

3줄 요약
1. 하니웰의 노티파이어넷 인터페이스에서 취약점 두 개 발견.
2. 중간 위험군, 고위험군, 치명적 위험군 등 위험성에 대한 평가는 다 다름.
3. 인증 장치를 우회하고 정보에 쉽게 접근해 유출시킬 수 있게 해주는 취약점들임.

[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

  •  
  • 0
  • 페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기


  •  SNS에서도 보안뉴스를 받아보세요!! 
그린존시큐리티 4개월 배너모니터랩 파워비즈 6개월 2020년6월22~12월 22일 까지넷앤드 파워비즈 진행 2020년1월8일 시작~2021년 1월8일까지위즈디엔에스 2018파워비즈배너 시작 11월6일 20181105-20200131
설문조사
코로나19 팬더믹 이후, 가장 기승을 부리고 있는 사이버 공격 유형은 무엇이라고 보시나요?
랜섬웨어
피싱/스미싱
스피어피싱(표적 공격)/국가 지원 해킹 공격
디도스 공격
혹스(사기) 메일
악성 앱
해적판 소프트웨어
기타(댓글로)