9월 패치 화요일(Patch Tuesday)에 대한 Akamai의 관점

IPSec 취약점

IPSec은 보안 네트워크 프로토콜 제품군 그룹으로, IP 네트워크를 통해 컴퓨터 사이의 데이터 패킷을 암호화하고 인증합니다.  IPSec은 주로 VPN에서 사용됩니다.

이번 패치 화요일(Patch Tuesday)에서는 IPSec의 두 가지 핵심 프로토콜인 IKEv1과 IPv6에 존재하는 세 가지 중요 원격 코드 실행 취약점을 소개했습니다.

이 취약점은 수신 패킷의 처리와 구문 분석을 담당하는 코드 흐름에 존재합니다. 이로 인해, 그리고 인증되지 않은 공격자가 원격에서 트리거할 수 있기 때문에 모두 중요 랭킹과 CVSS 9.8점을 받았습니다.

Windows Internet Key Exchange 프로토콜 확장 프로그램 

Internet Key Exchange(IKE)는 암호화 키 협상에 사용되는 일반적인 프로토콜 중 하나입니다. 

범위

IKEv1을 사용하는 IPSec 지원 시스템은 취약합니다. Windows Servers는 IKEv1과 IKEv2를 모두 사용하므로 취약합니다.

일반 권장 사항

조직에서는 IPSec을 사용하지 않는다면 비활성화하는 것이 좋습니다.

CVE

IKE 취약점은 Kunlun Lab의 Yuki Chen이 발견했습니다.  이 취약점은 IkeQueueRecvRequest, IkeDecryptOakNDPacket및 IkeDecryptOakPacket함수의 정수 오버플로우 또는 언더플로우로 인해 발생하는 것으로 보이며, 그 결과 OOB(Out-of-Bounds) 쓰기가 발생할 수 있습니다. 이 취약점의 경우 공격자가 공격이 더 타당해지도록 여러 요청을 보낼 필요가 없습니다.

IPv6

Microsoft Dynamics CRM 취약점

Microsoft의 Dynamics CRM은 Microsoft Dynamics 365의 일부입니다. 이달의 패치에서 다루는 중요 취약점은 보통 클라우드 기반 서비스로 제공되며, 애플리케이션의 온프레미스 설치와 관련되어 있습니다. CVSS 점수가 8.8점인 모든 취약점은 중요로 간주되며, 발견자는 Fabian Schmidt였습니다.

범위

Microsoft Dynamics CRM은 배포되어 있어야 사용 또는 접속할 수 있으며, 기본적으로 제공되는 사항은 아닙니다. 이 포트 리스트 는 상당히 일반적이기 때문에 존재를 찾는 좋은 방법 중 하나로 레지스트리 키 "HKLM\SOFTWARE\Microsoft\MSCRM"을 찾으면 됩니다. 모니터링되는 환경의 존재하지 않는 지점에서는 이 제품이 드물었습니다.

일반 권장 사항

패칭이 우선적으로 즉시 처리되어야 하는 사항이긴 하지만 바로 처리될 수 없는 경우에는, 세그멘테이션을 사용해 공격 기법을 줄일 수 있을 것이라 생각합니다. 세그멘테이션은 다음과 같이 두 가지 수준에서 이루어질 수 있습니다.

• 링펜싱 — CRM 서버에 접속할 수 있는 워크스테이션의 범위를 시스템에 접속해야 하는 직원(보통 IT 및 CS 인력)으로 한정할 수 있습니다. 

  • 또한 CRM 서버가 CRM 이외에는 아무 것도 실행하지 않는다면 Microsoft의 문서에 따라 네트워크 커뮤니케이션을 CRM에 필요한 포트 목록으로 제한할 수도 있습니다를 참조하세요.

• 사용자 기반 세그멘테이션 — 공격에는 인증된 사용자가 필요하므로 역시 훌륭한 방어 기법입니다.

OLE DB 및 ODBC 취약점

OLE DB와 ODBC는 모두 데이터 사용자와 데이터 소스 간의 연결을 일반화하도록 만들어진 API 사양입니다. ODBC는 더 오래되고 절차를 따르는 반면, OLE DB는 그보다는 새롭고 COM(Component Object Model)을 사용해 구현하며 비관계성 데이터베이스도 지원합니다.

연구원인 Haifei Li는 열한 가지 원격 코드 실행 취약점을 발견했는데, 모두 CVSS 8.8 점을 받으며 중요로 표시되었으며, Li는 Windows의 DB 연결에 사용되는 메커니즘을 공격하는 데 많은 노력을 기울였을 것입니다. 취약점 중 여섯 개는 SQL 서버의 OLE DB 공급업체에 있었고, 다른 다섯 개는 ODBC 드라이버에 있습니다.

OLE DB 취약점

여섯 가지 OLE DB 취약점의 공격 흐름 설명은 FAQ 섹션의 설명과 완전히 동일합니다. 설명에 따르면 여기에는 오류가 있으며(Microsoft Security Response Center에 알린 내용) 악성 패킷을 보내는 대신 받는 공격자 제어 서버에 관해 언급하고 있습니다. 다음은 수정된 텍스트입니다.

ODBC 취약점

다섯 가지 취약점의 공격 시나리오 모두에는 인증된 사용자가 Microsoft 365 제품군에 포함된 데이터베이스 관리 시스템(DBMS)인 Microsoft Access 에서 악성 파일을 열도록 속이는 과정이 포함됩니다. 악성 파일은 ODBC를 통해 열어야 하며, 이는 결국 ODBC 드라이버에서 취약한 코드를 트리거해 동일한 권한 수준을 갖는 피해자 컴퓨터에서 Access 프로세스로 임의의 코드를 실행합니다.

악성 파일은 MDB 형식이어야 하며, 이는 데이터베이스 구조와 항목, (선택적으로) 데이터 입력 양식, 쿼리, 저장된 프로시저 등을 지정합니다. MDB 파일 형식은 상대적으로 오래되었으며, Access 2007부터 사용된 .accdb 파일은 추가적인 기능을 제공합니다.

범위

Chainalysis에 따르면135,000개 조직에서 Microsoft Access 애플리케이션을 DBMS 솔루션으로 사용하고 있다고 합니다. 이들이 모니터링하는 환경 중 데이터 센터의 27%가 Microsoft Access 애플리케이션을 네트워크 머신 일부에 설치한 것으로 나타났습니다.

Microsoft SharePoint 취약점

Microsoft SharePoint는 웹 기반 문서 관리 및 스토리지 시스템으로, 다른 Microsoft Office 제품과 통합되어 있습니다. 이 달에는 네 건의 원격 코드 실행 취약점이 있었으며, 이 중 셋은 CVSS 점수 8.8점, 하나는 8.1점을 받았습니다.

범위

SharePoint는 전용 설치가 필요하며, 기본으로 제공되지 않습니다. 단일 서버 또는 클러스터에 설치할 수 있습니다. 모니터링되는 환경에서는 21% 의 네트워크에 하나 이상의 SharePoint 서버가 있는 것으로 확인되었습니다.

일반 권장 사항

SharePoint 서버가 보통 문서 사용을 지원하기 때문에 일반적인 사용에 피해를 입히지 않고 사용자 접속을 세그멘테이션하거나 제한하기란 쉽지 않을 수 있습니다. 그러나 네 가지 취약점에서 공격이 이루어지기 위해서는 특정한 권한이 필요하기 때문에 이러한 권한을 통해 공격 표면을 줄이는 것은 가능합니다. 사용자 권한을 줄이고 관리하는 일은 길고 지루한 과정일 수 있으므로 서버를 패치하는 것이 더 좋은 방법입니다.

관리 목록 및 페이지 생성 권한을 모두 삭제하기란 불가능할 수 있으므로 권한 있는 사용자 목록을 폐기하거나 라이브러리 또는 목록으로 제한할 수 있을 것입니다. 또한 이와 같이 권한 있는 사용자에 대한 모니터링을 늘리고 로그온 활동과 관련된 작은 이상이라도 보안 알림을 발동하거나 SharePoint 접속에 더해 로그온 알림을 요구하는 맞춤 규칙을 생성할 수도 있습니다.

CVE

Windows Kerberos 취약점

Kerberos는 Windows 도메인 아키텍처의 백본 역할을 합니다. 기본 인증 메커니즘으로, New Technology LAN Manager를 대체했습니다. 이번에는 두 가지 취약점이 있으며, 둘 다 James Forshaw가 발견했습니다.. 두 취약점 모두 암호화 다운그레이드를 중심으로 하며 CVSS 점수는 8.1점입니다. 더 약한 RC4-md4 암호화를 사용하도록 피해자와 도메인 컨트롤러 간 연결을 수정하면 공격자는 피해자의 Kerberos 세션 키를 뚫고 권한을 상승시킬 수 있습니다.

범위

Kerberos는 모든 Windows 도메인 아키텍처의 일부입니다.

일반 권장 사항

Microsoft는 Kerberos Armoring이 두 가지 취약점으로부터 보호할 수 있다고 권장합니다. 자세한 내용은 이 페이지 확인하세요. 취약점을 찾은 James Forshaw는 Kerberos Armoring을 사용하는 것만으로는 충분하지 않으며 KDC가 이 요구사항을 단순히 지지하는 것이 아니라 이행해야 한다고 말합니다.

또한 취약점이 작용하기 위한 요구사항 중 하나는 사칭 공격(Forshaw는 반드시 CVE-2022-33679에만 해당하는 것은 아니라고 언급함)이므로 공격자는 피해자와 도메인 컨트롤러에 존재합니다. 사칭 공격은 흔한 공격 기법이며, 상당히 “눈에 띌 수 있습니다”. 따라서 IDS 또는 IPS 솔루션이나 활성 위협 헌팅을 사용하면 일부 리스크를 방어하는 데 도움이 될 수 있습니다.