Wins Security Information

보안 정보

앞 내용 보기 다음 내용 보기
취약점 정보SonicWALL SSL-VPN RCE
작성일 2021-03-19 조회 804

SonicWall TZ 시리즈 | 엔트리 레벨 차세대 방화벽

SonicWALL SSL-VPN 장비에 RCE(Remote Code Execution) 취약점이 존재합니다.

 

SonicWall은 주로 콘텐츠 제어 및 네트워크 보안을 위한 다양한 인터넷 어플라이언스를 판매합니다. 여기에는 네트워크 방화벽, 통합 위협 관리(UTM), 가상 사설망(VPN) 등이 포함됩니다.

 

해당 취약점은 /cgi-bin/jarrewrite.sh 경로에서 "nobody" 사용자인 경우, Shellshock에 취약한 bash 버전으로 인해 발생합니다. 원격의 공격자는 악의적으로 조작된 HTTP 요청을 전송하여 공격할 수 있습니다.

 

공격 성공 시, 임의의 코드가 실행될 수 있습니다.

 

 

 

취약점 분석

 

해당 취약점은 Mirai 변종 공격에 사용된 취약점으로, 'VisualDoor'로 불리며, SonicWall SSL-VPN 장비에서 발생하는 취약점입니다. CVE 번호가 할당되어 있지 않지만, 현재까지도 여전히 공격에 사용되고 있습니다.

 

해당 취약점은 ShellShock에 취약한 버전의 Bash를 대상으로 공격이 진행되며, 공격자는 악의적으로 조작된 CGI(Common Gateway Interface) 요청을 특정 셸 스크립트로 보내 RCE 취약점을 유발할 수 있습니다.

 

* ShellShock : 유닉스 bash에서 발생하는 보안 버그입니다.

 

취약한 bash 버전으로 발생하므로, bash 버전을 업데이트하면 해결할 수 있습니다.

 

 

 

공격 분석 및 테스트

 

SonicWALL SSL-VPN의 공격 패킷은 다음과 같습니다.

 

 

[그림2. 취약한 부분]

 

 

아래의 그림은, 3월 18일 하루동안 SonicWALL SSL-VPN RCE 취약점을 모니터링한 결과입니다. 475건이 탐지되었습니다.

 

 

[그림3. 윈스 허니넷 탐지 결과]

 

 

 

취약점 대응 방안

 

1. 최신 버전 사용

 

Bash 버전을 업데이트합니다.

 

 

 

2. WINS Sniper 제품군 대응 방안

 

[5376] SonicWALL SSL-VPN jarrewrite.sh RCE

 

첨부파일 첨부파일이 없습니다.
태그 SonicWALL  RCE  Mirai