Wins blog

글로벌 정보보안 파트너! Global Security No.1 윈스는 국가대표 정보보안 기업에서 글로벌 강소기업으로 도약합니다.

보안 정보

앞 내용 보기 다음 내용 보기
취약점 정보[CVE-2020-26803] Sentrifugo assets RCE
작성일 2020-11-27 조회 74

 

 

Sentrifugo 3.2버전에 원격 코드 실행 취약점이 존재합니다.

 

Sentrifugo는 조직의 필요에 맞게 쉽게 구성할 수 있는 자유롭고 강력한 인적 자원 관리 시스템입니다. Sentrifugo는 HR 프로세스를 관리하는 데 필요한 유일한 솔루션이며, 사람과 작업장을 관리하기 위한 HRM 솔루션을 제공함으로써 직원이 조직의 목표에 효과적이고 생산적으로 기여할 수 있도록 합니다.

 


해당 취약점은 Assets/Add 탭에서 파일 확장자의 부적절한 유효성 검사로 인해 발생합니다.

 

 


원격의 공격자가 악의적으로 조작된 요청을 전송하여 공격을 성공시킬 수 있습니다.

 

 

 

 

 

취약점 설명

 

NVD - CVE-2020-26803

CVSS v2.0 Severity and Metrics:

Base Score: 9.0 HIGH

 

 

 

[그림1. NVD 내역]

 

 

 

 

취약점 분석

 

CVE-2020-26803 취약점은 Assets/Add 탭에서 파일 확장자의 부적절한 유효성 검사로 인해 발생합니다.

 

 

 

PoC 코드를 살펴보면,

assets 탭에서 php 스크립트를 업로드 하기 위한 시도를 하는 것을 확인할 수 있습니다.

 

 

 

[그림2. CVE-2020-26803 PoC]

 

 

 

 

 

공격 분석

 

 

공개된 PoC를 기반으로 CVE-2020-26803에 대한 공격 패킷은 다음과 같습니다.


/sentrifugo/index.php/assets/assets/uploadsave경로에서 php 스크립트를 업로드해 피해자가 스크립트를 실행하도록 유도할 수 있습니다.

 

 

 

[그림3. CVE-2020-26803 공격 패킷]

 

 

 

 

 

 

 

취약점 대응 방안

 

 

1. 최신 버전 사용

 

아직 알려진 패치 사항은 없습니다.

 

 

2. WINS Sniper 제품군 대응 방안

 

Sentrifugo assets RCE
첨부파일 첨부파일이 없습니다.
태그 Sentrifugo  CVE-2020-26803  CVE-2020-24219  CVE-2020-24219