CVE-2023-3349 / CVE-2023-3350 | IBERMATICA RPS 2019

IBERMATICA RPS 2019의 인증되지 않은 정보 노출과 암호화 설계 결함을 문서화한 보안 연구입니다.

이 취약점들은 서로 연결되어 악용될 수 있으며, 인증 관련 SQL 쿼리가 포함된 애플리케이션 로그를 노출시키고 역변환 가능한 AES-CBC 암호문에서 사용자 비밀번호를 복구할 수 있습니다.

[면책 조항] 이 저장소는 보안 연구, 방어적 검증 및 교육 목적으로만 제공됩니다. 소유한 시스템 또는 명시적으로 평가가 승인된 시스템에서만 테스트하십시오.

요약

인증되지 않은 사용자가 다음 주소에서 RPS 서비스 상태 페이지에 접근할 수 있습니다:

/RPS2019Service/status.html

이 페이지는 운영 로깅 컨트롤을 노출하며 생성된 로그를 다운로드할 수 있게 합니다. 이러한 로그에는 사용자 이름, IP 주소, SQL 쿼리 및 비밀번호 관련 값을 포함한 민감한 애플리케이션 데이터가 포함될 수 있습니다.

비밀번호는 일방향 비밀번호 해싱 함수로 보호되지 않습니다. 대신 RPS 2019는 사용자 이름에서 예측 가능하게 파생된 키 자재를 사용하는 AES-128-CBC를 사용합니다. 로그에서 사용자 이름과 암호화된 비밀번호 값을 확보하면 비밀번호를 평문으로 복구할 수 있습니다.

취약점

CVE	설명	CWE	CVSS 3.1 (CNA)
CVE-2023-3349	다운로드 가능한 애플리케이션 로그를 통한 인증되지 않은 민감 정보 노출	CWE-200	8.2 높음
CVE-2023-3350	AES-128-CBC 및 예측 가능한 사용자 이름 기반 키 자재를 사용하는 역변환 가능한 비밀번호 보호	CWE-327	8.2 높음

영향을 받는 제품

제품: IBERMATICA RPS
영향을 받는 버전: RPS 2019
구성 요소: RPS 2019 Service 상태 및 로깅 기능

공격 체인

인증 없이 노출된 RPS 상태 페이지에 접근합니다.
상태 페이지에서 제공되는 컨트롤을 통해 애플리케이션 로깅을 활성화합니다.
인증 활동을 유발하거나 기다립니다.
생성된 로그 파일을 다운로드합니다.
기록된 SQL 쿼리에서 사용자 이름과 암호화된 비밀번호 값을 추출합니다.
해당 사용자 이름에서 AES 키 자재를 파생합니다.
저장된 값을 복호화하여 비밀번호를 평문으로 복구합니다.

이 공격 체인에는 SQL 인젝션, 비밀번호 무차별 대입 또는 기존 애플리케이션 계정이 필요하지 않습니다.

기술적 참고 사항

조사 결과 다음과 같은 조건들이 확인되었습니다:

디버그 로그에는 인증과 관련된 전체 SQL 쿼리가 포함됩니다.
존재하지 않는 사용자 이름에 대한 로그인 시도는 입력된 비밀번호를 평문으로 기록할 수 있습니다.
기존 사용자의 비밀번호는 SQL 쿼리에서 Base64로 인코딩된 암호문으로 나타납니다.
암호화 방식은 CBC 모드의 AES-128을 사용합니다.
키와 초기화 벡터는 사용자 이름에서 결정론적으로 파생되며 고정 문자로 16바이트까지 패딩됩니다.
동일한 예측 가능한 값이 키와 IV로 모두 사용됩니다.

AES 자체가 근본적인 문제는 아닙니다. 취약점은 비밀번호에 역변환 가능한 암호화를 사용하고, 키 자재가 예측 가능하며, IV가 무작위도 아니고 독립적이지도 않다는 점에서 발생합니다.

영향

성공적인 악용 시 원격의 인증되지 않은 공격자가 다음을 수행할 수 있습니다:

민감한 운영 및 애플리케이션 정보 검색;
유효한 사용자 이름 및 인프라 세부 정보 열거;
평문 비밀번호 획득;
권한 있는 RPS 계정 손상;
비밀번호가 공유된 다른 서비스에서 노출된 자격 증명 재사용.

수정 및 강화

RPS 2019에 대한 공급업체 제공 업데이트 또는 완화 조치를 적용합니다.
/RPS2019Service/status.html에 대한 공개 접근을 제거합니다.
모든 진단, 관리, 상태, 헬스 체크, 디버그 및 메트릭 엔드포인트에 강력한 인증 및 권한 부여를 요구합니다.
반드시 필요하지 않은 경우 프로덕션 디버그 로깅을 비활성화합니다.
로그에서 자격 증명, 인증 데이터 및 전체 SQL 쿼리를 삭제합니다.
Argon2id, scrypt 또는 bcrypt와 같은 최신의 솔트 처리된 일방향 비밀번호 해싱 함수로 비밀번호를 저장합니다.
영향을 받은 로그에 나타났을 수 있는 모든 자격 증명을 교체합니다.
상태 페이지 및 로그 다운로드 요청에 대한 과거 액세스 로그를 검토합니다.
ERP 관리 및 지원 인터페이스의 인터넷 직접 노출을 차단합니다.

탐지 방안

방어자는 다음을 조사해야 합니다:

/RPS2019Service/status.html에 대한 예기치 않은 요청;
애플리케이션 로그를 활성화, 중지, 삭제 또는 다운로드하는 요청;
신뢰할 수 없는 네트워크에서 상태 또는 진단 엔드포인트에 대한 접근;
RPS 로그 파일 접근 이후의 비정상적인 인증 이벤트;
다른 내부 또는 외부 서비스에 대한 RPS 자격 증명의 재사용.

공개

이 문제들은 승인된 공격적 보안 평가 중 LABS @ ITRES에 의해 발견되었으며 INCIBE-CERT를 통해 CVE 식별자가 할당되었습니다.

자세한 기술 문서는 Old Dives 시리즈의 첫 번째 항목에서 확인할 수 있습니다:

Old Dives #01: 비밀번호를 되돌려준 RPS 상태 페이지

참고 자료

법적 고지

이 저장소의 정보는 조직이 문서화된 취약점을 식별, 검증 및 수정하는 데 도움을 주기 위한 것입니다. 저자와 기여자는 이 자료의 사용으로 인한 오용 또는 손해에 대해 책임을 지지 않습니다.

CVE-2023-3350

인기