EDS 서브시스템의 EDS 파일 확인 과정에서 발견된 취약점
디도스 공격과 SQL 주입 공격 가능케 해...로크웰 측은 문제 접수하고 패치 발표
[보안뉴스 문가용 기자] 로크웰 오토메이션(Rockwell Automation)이 최근 자사 제품에서 발견된 두 개의 취약점을 패치했다. EDS 파일들과 관련된 것으로, 성공적으로 익스플로잇 되었을 경우 악성 행위자들이 OT 네트워크에 접근할 수 있게 된다고 한다.
문제의 취약점들을 제일 먼저 발견한 건 산업 보안 전문 업체인 클라로티(Claroty)다. 취약점이 발견된 건 전자 데이터 시트(Electronic Data Sheet, EDS) 서브시스템으로, EDS 파일 내에는 장비의 환경설정 데이터가 저장되어 있으며 네트워크 관리 도구들에서 자주 사용되기도 한다. 클래로티에 의하면 공격자들이 EDS 파일들을 조작하여 디도스 공격이나 SQL 주입 공격을 하는 게 가능하가도 한다.
이러한 내용을 접수한 로크웰 오토메이션(Rockwell Automation)은 해당 취약점 두 가지를 다음과 같이 분류했다.
1) CVE-2020-12034 : 디도스 공격과 SQL 주입 공격을 가능케 한다.
2) CVE-2020-12038 : 디도스 공격을 가능케 한다.
이 취약점이 발견된 제품은 다음과 같다.
1) 팩토리토크 링스(FactoryTalk Linx)
2) RS링스 클래식(RSLinx Classic)
3) RS네트웍스(RSNetWorx)
4) 스튜디오 5000 로직스 디자이너(Studio 5000 Logix Designer)
클라로티에 의하면 EDS 서브시스템이 EDS 파일 내 콘텐츠를 처리하는 과정 중에 취약점이 발동된다고 한다. 이 점을 이용해 윈도우 배치 파일이 임의의 경로에 작성될 수 있도록 EDS 파일을 조작하는 게 가능하며, 이 때 임의 경로를 ‘시작 프로그램’ 폴더로 저장할 경우 시스템이 재부팅 될 때마다 코드가 실행될 수 있게 만들 수도 있다고 한다.
뿐만 아니라 취약점 익스플로잇을 통해 네트워크에 연결된 새로운 장비인 것처럼 가장하는 것도 가능하다. 속이는 데 성공할 경우 이 가짜 장비를 통해 악성 EDS 파일을 퍼트릴 수도 있다고 한다. EDS 파일이 네트워크 내 장비들을 검색 및 발견하는 데 사용되기도 하기 때문이다.
“네트워크 스캔 도구인 RS링스가 네트워크를 스캔하다가 공격자의 가짜 장비를 발견했다고 합시다. RS링스는 곧바로 EDS 파일을 요구합니다. 공격자는 자신이 조작한 EDS 파일을 제공하고, RS링스는 이를 검사합니다. 그 과정에서 취약점이 발동되고, 임의의 경로에 새로운 파일이 만들어집니다.” 클라로티가 보고서를 통해 설명한 내용이다.
클라로티가 제시한 공격 시나리오는 다음과 같다.
1) 공격자가 물리적인 공격 도구를 준비한다.
2) 작업 현장의 네트워크에 접속하고, 공격 도구를 연결시킨다.
3) 이 도구는 새로운 장비가 되고, 스캔 도구와의 상호작용으로 취약점을 발동시킨다.
4) 그런 후 임의 코드를 실행시킨다. 디도스 공격이나 SQL 주입이 가능하다.
좀 더 세부적인 기술 사항과 패치는 로크웰의 보안 권고 페이지(https://idp.rockwellautomation.com/adfs/ls/idpinitiatedsignon.aspx?RelayState=RPID%3Drockwellautomation.custhelp.com%26RelayState%3Danswers%2Fanswer_view%2Fa_id%2F1126464)에서 열람이 가능하지만, 로그인을 해야만 한다.
로크웰은 패치를 배포하면서 동시에 고객들에게 해당 사실을 따로 알리기도 했다.
3줄 요약
1. 보안 업체 클라로티가 로크웰 오토메이션의 EDS 서브시스템에서 취약점 두 개 발견.
2. 특수하게 조작한 EDS 파일 만들면 취약점 익스플로잇에 성공할 수 있음.
3. 익스플로잇에 성공할 경우 디도스 공격인 SQL 주입 공격을 실시할 수 있음.
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]
디도스 공격과 SQL 주입 공격 가능케 해...로크웰 측은 문제 접수하고 패치 발표
[보안뉴스 문가용 기자] 로크웰 오토메이션(Rockwell Automation)이 최근 자사 제품에서 발견된 두 개의 취약점을 패치했다. EDS 파일들과 관련된 것으로, 성공적으로 익스플로잇 되었을 경우 악성 행위자들이 OT 네트워크에 접근할 수 있게 된다고 한다.
[이미지 = utoimage]
문제의 취약점들을 제일 먼저 발견한 건 산업 보안 전문 업체인 클라로티(Claroty)다. 취약점이 발견된 건 전자 데이터 시트(Electronic Data Sheet, EDS) 서브시스템으로, EDS 파일 내에는 장비의 환경설정 데이터가 저장되어 있으며 네트워크 관리 도구들에서 자주 사용되기도 한다. 클래로티에 의하면 공격자들이 EDS 파일들을 조작하여 디도스 공격이나 SQL 주입 공격을 하는 게 가능하가도 한다.
이러한 내용을 접수한 로크웰 오토메이션(Rockwell Automation)은 해당 취약점 두 가지를 다음과 같이 분류했다.
1) CVE-2020-12034 : 디도스 공격과 SQL 주입 공격을 가능케 한다.
2) CVE-2020-12038 : 디도스 공격을 가능케 한다.
이 취약점이 발견된 제품은 다음과 같다.
1) 팩토리토크 링스(FactoryTalk Linx)
2) RS링스 클래식(RSLinx Classic)
3) RS네트웍스(RSNetWorx)
4) 스튜디오 5000 로직스 디자이너(Studio 5000 Logix Designer)
클라로티에 의하면 EDS 서브시스템이 EDS 파일 내 콘텐츠를 처리하는 과정 중에 취약점이 발동된다고 한다. 이 점을 이용해 윈도우 배치 파일이 임의의 경로에 작성될 수 있도록 EDS 파일을 조작하는 게 가능하며, 이 때 임의 경로를 ‘시작 프로그램’ 폴더로 저장할 경우 시스템이 재부팅 될 때마다 코드가 실행될 수 있게 만들 수도 있다고 한다.
뿐만 아니라 취약점 익스플로잇을 통해 네트워크에 연결된 새로운 장비인 것처럼 가장하는 것도 가능하다. 속이는 데 성공할 경우 이 가짜 장비를 통해 악성 EDS 파일을 퍼트릴 수도 있다고 한다. EDS 파일이 네트워크 내 장비들을 검색 및 발견하는 데 사용되기도 하기 때문이다.
“네트워크 스캔 도구인 RS링스가 네트워크를 스캔하다가 공격자의 가짜 장비를 발견했다고 합시다. RS링스는 곧바로 EDS 파일을 요구합니다. 공격자는 자신이 조작한 EDS 파일을 제공하고, RS링스는 이를 검사합니다. 그 과정에서 취약점이 발동되고, 임의의 경로에 새로운 파일이 만들어집니다.” 클라로티가 보고서를 통해 설명한 내용이다.
클라로티가 제시한 공격 시나리오는 다음과 같다.
1) 공격자가 물리적인 공격 도구를 준비한다.
2) 작업 현장의 네트워크에 접속하고, 공격 도구를 연결시킨다.
3) 이 도구는 새로운 장비가 되고, 스캔 도구와의 상호작용으로 취약점을 발동시킨다.
4) 그런 후 임의 코드를 실행시킨다. 디도스 공격이나 SQL 주입이 가능하다.
좀 더 세부적인 기술 사항과 패치는 로크웰의 보안 권고 페이지(https://idp.rockwellautomation.com/adfs/ls/idpinitiatedsignon.aspx?RelayState=RPID%3Drockwellautomation.custhelp.com%26RelayState%3Danswers%2Fanswer_view%2Fa_id%2F1126464)에서 열람이 가능하지만, 로그인을 해야만 한다.
로크웰은 패치를 배포하면서 동시에 고객들에게 해당 사실을 따로 알리기도 했다.
3줄 요약
1. 보안 업체 클라로티가 로크웰 오토메이션의 EDS 서브시스템에서 취약점 두 개 발견.
2. 특수하게 조작한 EDS 파일 만들면 취약점 익스플로잇에 성공할 수 있음.
3. 익스플로잇에 성공할 경우 디도스 공격인 SQL 주입 공격을 실시할 수 있음.
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-04-18] 
.jpg)
.jpg)
.jpg)
