¡®RADIUS ÇÁ·ÎÅäÄÝ ½ºÇªÇΡ¯ Ãë¾àÁ¡ CVE-2024-3596, °·ÂÇÑ ¾ÏÈ£È ¾Ë°í¸®Áò Àüȯ ÇÊ¿ä
¼¾½ºÅæ, ¡°µÎ °¡Áö Ãë¾àÁ¡ OT ȯ°æ¿¡¼ÀÇ »çÀ̹ö º¸¾È ´ë»ó °æ°è¿Í ÀûÀÀ Á߿伺 °Á¶¡±
[º¸¾È´º½º ±è¿µ¸í ±âÀÚ] ÃÖ±Ù ¿©·¯ ICS(Industrial Control System, »ê¾÷Á¦¾î½Ã½ºÅÛ) °ø±Þ¾÷üµéÀÌ »ê¾÷ ¹× OT(Operation Technology, ¿î¿µ ±â¼ú) Á¦Ç°¿¡¼ ¹ß°ßµÈ Ãë¾àÁ¡À» °í°´µé¿¡°Ô ¾Ë¸®±â À§ÇØ ±Ç°í¹®À» ¹ßÇ¥Çß´Ù. ´Ù¾çÇÑ º¸¾È Ãë¾àÁ¡ ±Ç°í¹® °¡¿îµ¥ ƯÈ÷ µÎ °¡Áö Ä¡¸íÀûÀÎ Ãë¾àÁ¡ÀÌ ÇÁ·Î±×·¡¸Óºí ·ÎÁ÷ ÄÁÆ®·Ñ·¯(Programmable Logic Controller, PLC)¿¡¼ »õ·Ó°Ô ¹ß°ßµÇ¾î ÀÎÁõ ½Ã½ºÅÛ¿¡ ½É°¢ÇÑ À§ÇèÀ» ÃÊ·¡ÇÏ°í ÀÖ´Ù.
[À̹ÌÁö=gettyimagesbank]
¼¾½ºÅæÀº ÃÖ±Ù ICS¿¡¼ ¹ß°ßµÈ PLC ÀÎÁõ ¿ìȸ Ãë¾àÁ¡¿¡ ´ëÇØ ¼Ò°³Çß´Ù. ±× µÎ °¡Áö´Â ¡®Ä¸Ã³-ÀçÀü¼ÛÀ» ÅëÇÑ ÀÎÁõ ¿ìȸ¡¯ °áÇÔ°ú ¡®¶óµð¿ì½º(RADIUS) ÇÁ·ÎÅäÄÝ ½ºÇªÇΡ¯À̶ó´Â Ãë¾àÁ¡ÀÌ´Ù. ¾Õ¼ ¾ð±ÞÇÑ Ä¸Ã³-ÀçÀü¼ÛÀ» ÅëÇÑ ÀÎÁõ ¿ìȸ´Â ¡®CWE-294¡¯¶ó´Â °ü¸®¹øÈ£°¡, µÚÀÌ¾î ¾ð±ÞÇÑ ¶óµð¿ì½º ÇÁ·ÎÅäÄÝ ½ºÇªÇÎÀº ¡®CVE-2024-3596¡¯À̶ó´Â °ü¸®¹øÈ£°¡ °¢°¢ ºÎ¿©µÆ´Ù.
¼¾½ºÅæÀÇ ¼³¸í¿¡ µû¸£¸é CWE-294 °áÇÔÀº ¡®Ä¸Ã³-ÀçÀü¼ÛÀ» ÅëÇÑ ÀÎÁõ ¿ìȸ¡¯·Î °ø°ÝÀÚ°¡ ÀÎÁõ ¸Þ½ÃÁö¸¦ °¡·Îä°í À̸¦ ÀçÀü¼ÛÇØ º¸¾È ÅëÁ¦¸¦ ¿ìȸÇÒ ¼ö ÀÖ°Ô ÇÏ´Â °áÇÔÀÌ´Ù. ÇØ´ç ¿ìȸ Á¶Á¤À» ÅëÇØ º¸È£µÈ ½Ã½ºÅÛ¿¡ ´ëÇÑ ¹«´Ü Á¢±ÙÀÌ °¡´ÉÇÏ°Ô µÈ´Ù.
CWE-294 °áÇÔ¿¡ ´ëÇÑ ´ëÀÀ¹æ¾ÈÀ¸·Î´Â ½ÃÄö½º ¶Ç´Â ŸÀÓ ½ºÅÆÇÁÀÇ ±¸Çö°ú ¾Ïȣȸ¦ »ç¿ëÇÑ ¸Þ½ÃÁö ¼¸íÀ» Æ÷ÇÔÇÏ´Â °ÍÀÌ´Ù. ¶ÇÇÑ ½ÇÁ¦ ÀÌ Ãë¾àÁ¡À¸·Î ÀÎÇØ ¸ðµå¹ö½º(Modbus) ÄÁÆ®·Ñ·¯¿¡ ´ëÇÑ °ø°ÝÀÌ ÀÖ´Ù°íµµ µ¡ºÙ¿´´Ù.
CVE-2024-3596 Ãë¾àÁ¡Àº ¡®RADIUS ÇÁ·ÎÅäÄÝ ½ºÇªÇΡ¯À¸·Î ÀÌ Ãë¾àÁ¡Àº ¶óµð¿ì½º(RADIUS, Remote Authentication Dial-In User Service) ÇÁ·ÎÅäÄÝ¿¡ ¿µÇâÀ» ¹ÌÄ¡¸ç, °ø°ÝÀÚ°¡ ¶óµð¿ì½º ÀÀ´äÀ» ½ºÇªÇÎÇØ ³×Æ®¿öÅ© Á¢±Ù °áÁ¤À» Á¶ÀÛÇÒ ¼ö ÀÖ°Ô ÇÑ´Ù. ¶óµð¿ì½º´Â ³×Æ®¿öÅ© º¸¾È ¹× ÀÎÁõ ½Ã½ºÅÛÀ¸·Î ³Î¸® »ç¿ëµÇ´Â ÇÁ·ÎÅäÄÝ Áß Çϳª´Ù. ÀÌ ÇÁ·ÎÅäÄÝÀº »ç¿ëÀÚÀÇ ÀÎÁõ, ±ÇÇÑ ºÎ¿© ¹× °èÁ¤ °ü¸®¸¦ Áß¾ÓÁýÁß½ÄÀ¸·Î °ü¸®ÇØ ³×Æ®¿öÅ© º¸¾ÈÀ» °ÈÇϴµ¥ µµ¿òÀ» ÁØ´Ù.
¶óµð¿ì½ºÀÇ µ¿ÀÛ¿ø¸®´Â Ŭ¶óÀ̾ðÆ®°¡ ³×Æ®¿öÅ©¿¡ Á¢¼ÓÇϸé, Á¢¼ÓÇÑ ³×Æ®¿öÅ© Àåºñ(¾×¼¼½º Æ÷ÀÎÆ®)´Â ¶óµð¿ì½º ¼¹ö¿¡ Á¢¼Ó ¿äûÀ» º¸³»°Ô µÈ´Ù. À̶§ ¶óµð¿ì½º ¼¹ö´Â ÀÌ ¿äûÀ» ÀÎÁöÇÏ°í »ç¿ëÀÚÀÇ ÀÎÁõ Á¤º¸¸¦ È®ÀÎÇÑ ÈÄ Á¢¼ÓÀ» Çã¿ëÇϰųª °ÅºÎÇÏ´Â ¿ªÇÒÀ» ÇÑ´Ù. CVE-2024-3596 Ãë¾àÁ¡Àº MD5 ±â¹Ý ÀÎÁõÀÇ Ãë¾àÁ¡À» ¾Ç¿ëÇÏ´Â °ÍÀÌ Æ¯Â¡ÀÌ´Ù.
CVE-2024-3596 Ãë¾àÁ¡¿¡ ´ëÇÑ ´ëÀÀ¹æ¾ÈÀ¸·Î´Â ´õ °·ÂÇÑ ¾ÏÈ£È ¾Ë°í¸®ÁòÀ¸·Î ÀüȯÇϰųª ³×Æ®¿öÅ© Æ®·¡ÇÈÀ» ¸ð´ÏÅ͸µÇÏ°í, ÃֽŠ¼ÒÇÁÆ®¿þ¾î·Î ¾÷µ¥ÀÌÆ®¸¦ Àû¿ëÇÏ´Â °Í µîÀÌ Æ÷ÇԵȴÙ.
¼¾½ºÅæ °ü°èÀÚ´Â ¡°CWE-294 °áÇÔ°ú CVE-2024-3596 Ãë¾àÁ¡ µî µÎ °¡Áö´Â ƯÈ÷ ÃÖ±Ù À̽´°¡ µÇ°í ÀÖ´Â OT ȯ°æ¿¡¼ ´õ¿í ÁÖ¸ñ¹Þ°í ÀÖ´Ù¡±¸ç ¡°»ê¾÷ ÀÚµ¿È ½Ã´ë°¡ ´õ¿í È®»êµÇ¸é¼ ±Û·Î¹ú Á¦Á¶È¯°æÀÌ ¼ö¸¹Àº ±â±â¿Í Àåºñ¸¦ È¿À²ÀûÀ¸·Î °ü¸®ÇÒ ¼ö ÀÖ´Â OT ¹× IT ÅëÇÕ ½Ã½ºÅÛÀ¸·Î º¯ÈÇÏ´Â °¡¿îµ¥ OT º¸¾ÈÀÇ Á߿伺ÀÌ Ä¿Áö´Â ¸¸Å »çÀ̹ö º¸¾È¿¡ ´ëÇÑ Áö¼ÓÀûÀÎ °æ°è¿Í ÀûÀÀÀÇ Á߿伺À» ì°Ü¾ß ÇÒ ¶§¡±¶ó°í ¼³¸íÇß´Ù.
[±è¿µ¸í ±âÀÚ(boan@boannews.com)]
<ÀúÀÛ±ÇÀÚ: º¸¾È´º½º(www.boannews.com) ¹«´ÜÀüÀç-Àç¹èÆ÷±ÝÁö>