IBM Robotic Process Automation 취약점으로 인한 민감 데이터 유출 가능성

IBM Robotic Process Autmation Vulnerability Let Attackers Obtain Sensitive Data

IBM Robotic Process Autmation Vulnerability Let Attackers Obtain Sensitive Data

 

• 취약점 개요
  • IBM Robotic Process Automation(RPA)에서 CVE-2024-51456로 추적되는 보안 취약점이 발견됨
  • 취약점은 RSA 알고리즘의 비최적 비대칭 암호화 패딩(OAEP) 미사용으로 인해 발생
  • 원격 공격자가 암호화 분석 공격을 통해 민감 데이터를 가로채거나 복구할 수 있는 가능성이 있음
• 취약점 세부 정보
  • CWE-780: OAEP 없이 RSA 알고리즘 사용
  • CVSS 기본 점수: 5.9 (보통 위험도)
    • 공격 벡터: 네트워크
    • 공격 복잡도: 높음
    • 필요 권한: 없음
    • 사용자 상호작용: 필요 없음
  • 주요 영향: 기밀성 위협 (높음), 무결성과 가용성에는 영향 없음
• 영향받는 제품 및 버전
  • IBM Robotic Process Automation:
    • 21.0.0 – 21.0.7.19
    • 23.0.0 – 23.0.19
  • IBM Robotic Process Automation for Cloud Pak:
    • 21.0.0 – 21.0.7.19
    • 23.0.0 – 23.0.19
• IBM의 대응
  • 패치 배포
    • 사용자는 23.0.20 이상의 버전으로 업그레이드 권장
    • IBM의 공식 보안 공지를 참조하여 업데이트 절차 수행
  • 임시 완화 조치
    • 21.0.0 – 21.0.7.19 버전을 사용하는 경우 IBM에서 제공하는 완화 지침에 따라 일시적으로 대응
• 보안 권고
  • 즉각적으로 취약점을 해결하기 위해 최신 버전(23.0.20 이상)으로 소프트웨어 업데이트
  • RPA와 관련된 자동화 워크플로우를 정기적으로 점검하여 민감 데이터 유출 방지
  • 기존 버전을 사용하는 환경에서는 IBM의 지침에 따라 임시 완화 조치를 적용
  • 조직의 암호화 모듈과 키 관리 정책을 재검토하여 취약한 알고리즘이나 구현 방식을 제거
• 결론
  • IBM RPA의 취약점은 민감 데이터를 유출시킬 가능성이 있어 즉각적인 대응이 요구됨
  • 사용자와 조직은 패치와 구성 강화를 통해 자동화된 워크플로우의 보안을 유지해야 함