0xNews - MS Azure 클라우드 서비스 취약점 발견

보안회사 Intezer 발표

MS Azure App Services 에서 보안 취약점 2개 발견

악의적인 사용자가 SSRF Server Side Request Forgery 공격을 수행

아니면 임의의 코드를 실행하고 관리 서버를 장악할 수 있음

이를 통해 공격자가 App Service 의 git 서버를 조용히 장악 가능

Azure Portal 을 통해 접속할 수 있는 악성 피싱 페이지를 시스템 관리자에게 접속하도록 강제할 수 있음

Azure App Service 는 웹, 앱, 모바일 백엔드를 빌드 하기 위한 호스팅 웹 서비스로 사용되는 MS 에서 서비스하는 클라우스 컴퓨팅 기반 플랫폼

애저 Azure 를 통해 App Service 를 만들면 두 개의 컨테이너 노드와 함께 앱의 HTTP 웹 서버와 앱 서비스의 관리 페이지를 가리키는 두 개의 도메인을 등록하는 새 도커 Docker 환경 생성

Kudu 를 활용하여 Github 혹은 Bitbucket 과 같은 소스 제어 공급자의 앱을 지속적으로 배포

Kudu 의 Github 공유 사이트 링크

동일하게 리눅스 환경의 애저 배포는 시스템에 대한 진단 정보를 제공

애플리케이션 노드에 대한 SSH 웹 인터페이스 혹은 webssh 로 구성되는 KuduLite 라는 서비스로 관리

KuduLite 의 Github 공유 사이트 링크

첫번째 취약점

하드 코딩된 자격 증명 root / Docker! 을 통해 KuduLite 를 탈취할 수 있는 권한 상승 취약점

인스턴스에 SSH 하고 루트로 로그인하여 공격자가 완전히 제어 가능

이것은 공격자가 SCM Software Configuration Management 웹 페이지에 대한 사용자 HTTP 요청을 듣고 우리 자신의 페이지를 추가 후 사용자의 웹 페이지에 악성 자바 스크립트를 인젝션할 수 있게 함

두번째 취약점

애플리케이션 노드가 KuduLite API 에 요청을 전송하는 방식과 관련되어 SSRF 취약점이 있는 웹 앱이 노드의 파일 시스템에 접속하고 소스 코드와 기타 민감 정보를 탈취할 수 있음

POST 요청을 위조하는 공격자는 명령 API command API 를 통해 애플리케이션 노드에서 원격 코드 실행 RCE Remote Code Execution 실행 가능

이를 성공적으로 악용한다는 것은 공격자가 이상 두가지 취약점을 연결

SSRF 취약점을 활용하고 KuduLite 웹 서버 인스턴스를 장악할 권한을 높일 수 있음을 의미

MS 는 클라우드와 사물 인터넷 IoT 공간의 보안을 개선하기 위해 꾸준히 노력 중

2020년 초 보안 중심의 IoT 플랫폼인 Azure Sphere 제공 후 연구팀은 공격자보다 영향력이 큰 취약점을 식별하기 위해 서비스에 침입할 수 있도록 개방

이번 취약점을 발표한 연구팀은

클라우드를 통해 개발자는 빠른 속도와 유연성으로 애플리케이션을 구축하고 배포가 가능

하지만 인프라에 대해서는 종종 제어 불가능한 취약점으로 인해 문제 발생

App Services 의 경우 애플리케이션은 추가 관리 컨테이너와 공동 호스팅이 되며 추가 구성 요소로 인해 추가 위협을 불러올 수 있음

이번 취약점은 MS 에 6월 보고, 이후 해결 완료

openLab