0xNews - Cisco 재버 Jabber 취약점 경고

노르웨어 보안회사 Watchcom 발표

Cisco 재버 버그를 악용하면 인증된 원격 공격자가 임의의 코드를 실행할 수 있는 취약점 존재 확인

연구팀은 이번 취약점을 침투 테스트 중 발견

현재 사용 중인 모든 재버 jabber 클라이언트 v.12.1~12.9 에 영향을 받음

발견된 취약점은 총 4개

이 중 2개는 그룹 대화나 특정 개인에게 특수하게 조작된 채팅 메시지를 전송

대상 시스템에서 원격 코드 실행 RCE Remote Code Execution 실행 가능

그 중 가장 심각한 것은 악의적으로 제작된 XMPP eXtensible Messaging and Presence Protocol 메시지를 전송

영향을 받는 소프트웨어에 공격자가 활용할 수 있는 메시지 내용의 부적절한 유효성 검사로 인해 발생되는 취약점

CVE-2020-3495 지정

CVSS 3.x 9.9 Critical

공격의 성공은 공격자가 가능한 임의의 코드 실행의 결과

Cisco 재버 클라이언트 소프트웨어를 실행할 수 있는 사용자 계정의 권한으로 대상 시스템에서 임의의 프로그램을 실행할 수 있는 응용 프로그램을 강제 실행

데모 동영상

XMPP 는 두개 이상의 네트워크 엔티티간의 인스턴트 메시징을 용이하게 하는데 사용되는 XML 기반 통신 프로토콜

또한 추가기능을 수용할 수 있도록 확장 가능하도록 설계

그 중 하나는 XEP-0071 : XHTML-IM

XMPP 프로토콜을 사용하여 HTML 컨텐츠를 교환하기 위한 규칙을 정하는 사양

Cisco 재버의 취약점은 XHTML-IM 메시지를 구문분석할 때

XSS 취약점으로 인해 발생

이 애플리케이션은 들어오는 HTML 메시지를 적절하게 삭제하지 않고

대신 취약점이 있는 XSS 필터를 통해 전달

결과적으로 정상적인 XMPP 메시지를 가로채서 수정할 수 있으므로 응용 프로그램이 응용 프로그램의 로컬 파일 경로 내에 이미 존재하는 임의의 실행 파일을 실행 가능

이를 달성하기 위해 다른 앱에 Chromium 웹 브라우저를 인젝션하는데 사용되는 오픈 소스 프레임워크인 CEF Chromium Embedded Framework 의 별도 취약한 기능을 악용하여 악의적인 실행자가 악용 가능

하지만 이를 위해 공격자는 취약점을 성공적으로 악용하는데 필요한 악의적인 XMPP 메시지를 전송하기 위해 대상의 XMPP 도메인에 접속 가능해야 함

재버 Jabber 의 다른 3개의 취약점

CVE-2020-3430

CVE-2020-3498

CVE-2020-3537 등이 악용되어 악의적인 명령 인젝션 Injection 하고 사용자의 NTLM 암호 해시를 은밀하게 수집할 가능성을 포함하여 정보 공개를 유발 가능

Cisco 재버 취약점에 대한 보안 업데이트 링크

openLab