Wins Security Information

보안 정보

앞 내용 보기 다음 내용 보기
취약점 정보[CVE-2020-8656] EyesOfNetwork SQL Injection
작성일 2021-01-22 조회 55

 

 

EyesOfNetwork - Information system supervision solution

 

 

EyesOfNetwork에 SQL Injection 취약점이 존재합니다.

 

EyesOfNetwork는 ITIL 프로세스의 실용적인 사용과 업무용 애플리케이션을 가능하게 하는 기술 인터페이스를 결합한 솔루션입니다.

 

해당 취약점은 eonapi/getApiKey의 username 매개 변수에 대한 부적절한 입력 유효성 검사로 인해 발생합니다. 원격의 공격자는 악의적으로 조작된 요청을 전송하여 공격할 수 있습니다.

 

공격 성공 시, 임의의 코드가 실행될 수 있습니다.

 

 

 

취약점 설명

 

NVD - CVE-2020-8656

CVSS v2.0 Severity and Metrics:

Base Score: 7.5 HIGH

 

 

[그림1. NVD 내역]

 

 

 

취약점 분석

 

해당 취약점은 eonapi/getApiKey의 username 매개 변수에 대한 부적절한 입력 유효성 검사로 인해 SQL Injection 취약점이 발생할 수 있습니다. 

 

취약한 버전은 5.3이며, enoapi 버전을 2.0-2로 업데이트하여 패치할 수 있습니다.

 

 

[그림2. enoapi 패치 사항]

 

 

 

공격 분석 및 테스트

 

 CVE-2020-8656의 공격 패킷은 다음과 같습니다.

 

[그림3. 취약한 부분]

 

 

[그림4. PoC 코드 일부]

 

 

 

취약점 대응 방안

 

1. 최신 버전 사용

 

해당 벤더사에서 발표한 최신의 버전으로 업데이트한다.

 

https://github.com/EyesOfNetworkCommunity/eonweb/releases

 

 

2. WINS Sniper 제품군 대응 방안

 

[5341] EyesOfNetwork username SQL Injection

 
첨부파일 첨부파일이 없습니다.
태그 CVE-2020-8656  EyesOfNetwork    SQL Injection