0xNews - SonicWall Enterprise Email Security Appliances 제로데이 3건 해결
0xNews - SonicWall Enterprise Email Security Appliances 제로데이 3건 해결
SonicWall 발표
CVE-2021-20021
CVE-2021-20022 등 지정된 취약점은 인터넷 접속이 가능한 시스템에서 악용 후 웹쉘 활동을 감지
2021년 3월 26일 Fireeye 에서 취약점 발견
CVE-2021-20023 은 Windows Server 2021 설치되서 실행되는 SonicWall 의 이메일 보안 애플리케이션에 있는 고객 환경 설정내 존재
2021년 4월 6일 해당 정보 공개
Fireeye 는 UNC2682 라는 이름으로 활동하는 조직에 대해 추적 중
이번에 공개된 취약점은 SonicWall 이메일 보안 기기에서 관리 접속과 코드 실행을 얻기 위해 함께 실행
공격자는 SonicWall 애플리케이션에 대한 자세한 정보와 함께 이러한 취약점을 활용하여 백도어를 설치
파일과 이메일에 접속하고 피해자 조직의 네트워크의 측면으로 이동하여 공격 수행
CVE-2021-20021
CVSS 9.4
공격자가 조작된 HTTP request 를 원격 호스트에 전송하여 관리 계정 생성 가능
CVE-2021-20022
CVSS 6.7
사후 인증된 공격자가 원격 호스트에 임의 파일 업로드 가능
CVE-2021-20023
CVSS 6.7
사후 인증된 공격자가 원격 호스트에 임의 파일을 읽을 수 있도록 허용하는 디렉토리 탐색 취약점
관리 접속을 통해 공격자는 CVE-2021-20023 을 연이어 악용
구성 파일을 읽거나 기존 계정 정보에 대한 정보, Windows AD Active Directory 자격 증명 등을 포함하는 정보 취득 가능
CVE-2021-20022 악용을 통해 암호화된 C2 command-and-control 통신을 허용하는 Behinder 라는 JSP 기반 웹쉘 실행
Behinder 관련 정보 사이트 링크
https://www.sangfor.com/en/info-center/blog-center/cyber-security/Behinder-v3-0-Analysis
서버에 웹쉘을 추가함으로써 공격자는 NT AUTHORITY\System 계정의 상속된 권한을 사용
명령 프롬프트에서 제한없이 접속 가능
공격자는 LotL living off the land 이라는 기술을 사용
자격 증명 수집
네트워크에서 측면으로 이동
SonicWall 이메일 보안에서 처리하는 이메일의 일일 아카이브를 포함하는 하위 디렉토리 압축 수행 가능
LotL 에 대한 설명 사이트 링크
https://www.paloaltonetworks.com/cyberpedia/what-are-fileless-malware-attacks
현재까지 공격 탐지에 대한 분석 결과
공격자는 잠깐의 시간 동안 내부 정찰 활동 수행
내부 정보 확인 후 추가 확장된 공격을 수행하기 위해 격리되고 분리된 영역에 대한 공격과 훼방 수행 확인
SonicWall 사용자는 Windows용 10.0.9.6173 핫픽스나 하드웨어나 ESXi 가상 어플라이언스용 10.0.9.6177 핫픽스로 업그레이드 권고
SonicWall Hosted Email Security 제품은 2021년 4월 19일 자동 보안 패치 실시
댓글
댓글 쓰기
글과 상관없는 댓글 작성은 발견 즉시 삭제합니다.