Rsync 취약점으로 서버 완전 제어 가능 - PoC 공개

RSync Vulnerabilities Allow Hackers to Take Full Control of Servers – PoC Released

RSync Vulnerabilities Allow Hackers to Take Full Control of Servers – PoC Released

 

• 취약점 개요
  • Rsync 파일 동기화 도구에서 발견된 치명적인 보안 취약점으로 인해 수백만 대의 서버가 익명 공격자에게 노출됨
  • Rsync 3.2.7 및 이전 버전에서 발견된 5가지 공격 벡터를 통해 원격 코드 실행, 민감한 데이터 유출, 파일 시스템 조작이 가능
  • GitHub 보고서에 따르면, PoC(Proof of Concept) 코드가 공개되어 실제 공격 가능성 증가
• 주요 취약점 및 세부 내용
  • CVE-2024-12084: 힙 버퍼 오버플로우 (CVSS 9.8)
    • 파일 동기화 시 체크섬 데이터 처리 과정에서 힙 메모리 오버플로우 발생
    • 공격자가 16바이트 버퍼(s2length)에 최대 64바이트(SHA-512 해시) 데이터 전송 가능
    • 인접 메모리 48바이트를 덮어써서 중요한 데이터 구조 손상
    • CVE-2024-12085와 결합 시, Debian 12 및 Ubuntu 시스템에서 원격 코드 실행 가능
  • CVE-2024-12085: 초기화되지 않은 스택 데이터 유출 (CVSS 7.5)
    • 파일 청크 검증 중 타이밍 채널을 통해 초기화되지 않은 스택 메모리 유출
    • 공격자는 s2length를 9로 설정하여 한 번에 1바이트씩 스택 메모리 유출 가능
    • ASLR(Address Space Layout Randomization) 우회 가능, CVE-2024-12084 활용 가능
  • CVE-2024-12086: 클라이언트 파일 탈취 (CVSS 8.6)
    • 서버가 xname 매개변수를 통한 경로 이동(path traversal) 취약점 이용
    • 임의의 클라이언트 파일을 원격 서버로 전송 가능
    • SSH 키, 설정 파일 등 민감한 데이터 유출 위험
  • CVE-2024-12087: 심볼릭 링크 디렉터리 우회 (CVSS 8.1)
    • 디렉터리 캐싱의 경쟁 조건(race condition)을 악용하여 심볼릭 링크 보호 우회
    • 공격자는 Rsync 클라이언트를 통해 /etc와 같은 시스템 파일 디렉터리 수정 가능
    • 권한 상승 및 시스템 파일 손상 위험
  • CVE-2024-12088: –safe-links 우회 (CVSS 6.5)
    • –safe-links 옵션 활성화 시에도 중첩된 심볼릭 링크가 우회 가능
    • 링크 경로 해석이 잘못되어 /etc 디렉터리에 접근할 수 있음
    • 시스템 보안 정책을 우회할 수 있는 위험
• 보안 권고
  • 즉시 대응 조치
    • Rsync를 최신 버전 3.2.8로 업그레이드하거나 벤더 패치 적용
    • 익명 Rsync 데몬 접근을 비활성화하여 공격 표면 축소
    • 동기화 로그를 감사하여 예상치 못한 체크섬 오류 탐지
    • 신뢰할 수 있는 서버에서만 Rsync 클라이언트를 사용하도록 제한
  • 운영 체제 패치 현황
    • Debian과 Ubuntu 긴급 보안 업데이트 발표 (DSA-5432-1, USN-6670-1)
    • 시스템 관리자는 배포된 보안 패치를 즉시 적용해야 함
• 결론
  • Rsync와 같은 레거시 동기화 프로토콜의 내재된 위험성 확인
  • 메모리 안전성(memory-safe)을 고려한 보안 구현의 중요성 강조
  • 모든 파일 동기화 툴에 대해 정기적인 보안 취약점 평가 필요