Offcanvas

보안 / 통신|네트워크

시스코, IOS XE 소프트웨어 취약점 패치 발표

2021.09.27 Michael Cooney  |  Network World
시스코가 자사 라우터 및 스위치에서 사용되는 IOS XE 소프트웨어의 치명적인 3가지 취약점을 해결하는 보안 패치를 공개했다.  

회사에 따르면 이 3가지 취약점은 32개 보안 경고에 관한 대규모 릴리즈의 일부이며, 그중 상당수는 방화벽, SD-WAN, 무선 액세스 취약점을 포함해 IOS XE와 관련돼 있다. 
 
ⓒJanBaby / Pixabay

가장 심각한 취약점은 ‘시스코 카탈리스트 9000 패밀리 와이어리스 컨트롤러(Cisco IOS XE Software for Cisco Catalyst 9000 Family Wireless Controllers)’용 시스코 IOS XE 소프트웨어 취약점이다. 이는 CVSS(Common Vulnerability Scoring System)에서 10점 만점에 10점으로 평가됐다고 회사 측은 전했다. 

해당 취약점을 통해 인증되지 않은 원격 공격자가 관리 권한을 가지고 임의의 코드를 실행하거나 영향을 받는 기기에서 DoS(Denial of Service) 상태를 발생시킬 수 있다. 공격자는 조작된 CAPWAP 패킷을 영향을 받는 기기로 전송해 이 취약점을 악용할 수 있다. CAPWAP는 사용자가 무선 액세스 포인트를 중앙에서 관리할 수 있게 해주는 네트워킹 프로토콜이다. 

시스코는 “공격이 성공하면 공격자가 관리 권한을 가지고 임의의 코드를 실행하거나 영향을 받는 기기를 손상시키고 다시 로드하여 DoS가 발생할 수 있다”라고 밝혔다. 

두 번째로 심각한 취약점(CVSS 점수: 9.8)은 시스코 IOS XE SD-WAN 소프트웨어에 영향을 미치며, 이를 통해 공격자가 SD-WAN 장치에서 버퍼 오버플로를 일으킬 수 있다고 회사 측은 말했다. 

시스코는 “이 취약점은 영향을 받는 기기에서 트래픽을 처리할 때 경계 검사가 충분하지 않으면 발생한다”라면서, “공격자는 조작된 트래픽을 장치로 전송하여 해당 취약성을 악용할 수 있다. 공격이 성공하면 공격자가 버퍼 오버플로를 발생시키고 루트 수준 권한으로 임의의 명령을 실행하거나 기기를 다시 로드하도록 하여 DoS 상태를 유발할 수 있다”라고 설명했다. 

세 번째로 치명적인 취약점(CVSS 점수: 9.8)은 시스코 IOS XE 소프트웨어의 ‘인증, 권한 부여, 계정(AAA; authentication, authorization, and accounting)’ 취약점이다. 이는 공격자가 영향을 받는 기기의 구성을 설치, 조작 또는 삭제하거나 DoS를 초래하는 메모리 손상을 유발할 수 있다. 이 취약점을 통해 공격자는 NETCONF 또는 RESTCONF 인증을 우회할 수 있다. 

시스코는 “공격이 성공하면 공격자가 NETCONF 또는 RESTCONF를 사용하여 네트워크 장치의 구성을 설치, 조작 또는 삭제하거나 메모리를 손상시켜 DoS를 유발할 수 있다”라고 언급했다. 

회사에 의하면 해당 취약점을 해결하는 방법은 다음과 같다. 사용 암호를 제거하고 구성하는 것이다. 또한 이 취약점의 공격 영역을 제한하려면 NETCONF 및 RESTCONF가 신뢰할 수 없는 서브넷에서 액세스를 시도하지 못하도록 액세스 제어 목록을 마련해야 한다고 시스코는 덧붙였다. 

시스코는 치명적인 취약점을 해결하는 무료 소프트웨어 업데이트를 출시했다. 이곳에서 확인할 수 있다. ciokr@idg.co.kr


 
CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.