해커, CVE-2024-50603 악용해 Aviatrix 컨트롤러에 백도어 배포

Hackers Use CVE-2024-50603 to Deploy Backdoor on Aviatrix Controllers

Hackers Use CVE-2024-50603 to Deploy Backdoor on Aviatrix Controllers

 

• 취약점 개요
  • CVE-2024-50603은 Aviatrix Controller에서 발견된 치명적 취약점으로, CVSS 점수 10.0
  • 특정 API 엔드포인트에서의 입력값 검증 부족으로 인해 인증되지 않은 원격 코드 실행(RCE) 가능
  • 공격자는 악의적인 명령을 삽입하여 시스템 명령을 실행하고, 클라우드 환경에서 권한 상승 가능
• 취약점의 주요 원인
  • Aviatrix Controller의 PHP API가 사용자 제공 매개변수를 적절히 검증 및 세척하지 않음
  • 사용자 입력값이 시스템 명령에 직접 통합되며, 악성 OS 명령 실행 허용
  • 예시
    • ; rm -rf / → 시스템 파일 삭제
    • ; download_malware.sh → 악성 소프트웨어 다운로드 및 실행
• 공격 방식
  • 공격자는 악의적으로 조작된 명령을 포함하는 요청을 API에 전달
  • 이를 통해 시스템에 백도어 설치 및 암호화폐 채굴 프로그램 배포
  • Aviatrix Controller의 높은 권한을 이용해 클라우드 환경 내 횡적 이동 및 중요 자원 접근
• 영향 범위
  • 취약점은 Aviatrix Controller 7.1.4191 이전 버전 및 7.2.4996 이전 버전에 영향을 미침
  • 광범위한 클라우드 환경과 다수의 조직 보안 위협 초래
• 권고 사항
  • Aviatrix Controller를 최신 버전(7.1.4191 또는 7.2.4996 이상)으로 즉시 업데이트
  • 네트워크 제한을 통해 공격 표면 축소
  • API 엔드포인트의 보안 강화
    • 입력값 검증 및 세척 강화
    • 취약점 악용 방지 규칙 적용
  • 보안 로그 검토
    • 의심스러운 활동 및 악성 프로그램 탐지
    • 클라우드 이벤트 로그에서 비정상 활동 분석
• 보안 전문가 의견
  • Ray Kelly(Black Duck Fellow)
    • API 엔드포인트 보안 중요성 강조
    • API는 종종 숨겨져 있다고 가정되지만, 단순한 웹 호출로도 서버가 타격 받을 수 있음
    • API 테스트는 크기와 복잡성, 체인 호출 의존성으로 인해 어려우나 반드시 필요
• 결론
  • CVE-2024-50603은 취약한 API 엔드포인트의 위험성을 여실히 드러냄
  • 종합적인 보안 테스트와 지속적인 위협 헌팅이 필요
  • 클라우드 환경 보안을 위해 API 설계 및 검증 단계에서의 안전성 확보 필수