|
[CVE-2020-15227] Nette RCE 침해사고분석팀 2021.01.29 |
|
|
Nette에 RCE(Remote Code Execution) 취약점이 존재합니다.
Nette는 PHP 5 및 7에서 웹 애플리케이션을 작성하기 위한 오픈 소스 프레임워크입니다.
해당 취약점은 /nette.micro 경로에서 특수하게 생성된 매개 변수에 대한 부적절한 검증으로 인해 발생합니다. 원격의 공격자는 악의적으로 조작된 요청을 전송하여 공격할 수 있습니다.
공격 성공 시, 임의의 코드가 실행될 수 있습니다.
취약점 설명
NVD - CVE-2020-15227 CVSS v2.0 Severity and Metrics: Base Score: 7.5 HIGH
[그림1. NVD 내역]
취약점 분석
해당 취약점은 /nette.micro?callback 경로에 특수하게 생성된 매개 변수에 원격 코드 실행 취약점이 발생할 수 있습니다.
취약한 버전은 아래와 같으며, 패치 버전은 2.0.19, 2.1.13, 2.2.10, 2.3.14, 2.4.16, 3.0.6입니다.
[그림2. 취약한 버전]
공격 분석 및 테스트
CVE-2020-15227의 공격 패킷은 다음과 같습니다.
[그림3. 취약한 부분]
취약점 대응 방안
1. 최신 버전 사용
해당 벤더사에서 발표한 최신의 버전으로 업데이트한다.
https://github.com/nette/application/releases
2. WINS Sniper 제품군 대응 방안
[6071] Nette callback RCE
|
