보안 권고: VMware 취약점으로 인해 해커가 시스템을 제어할 수 있음

2022년 5월 19일 | 조언하는, 블로그

CyberHoot 취약점 경보 관리 프로세스 등급(VAMP): 심각/적색 오월 19일 (2022년): CyberHoot은 추적된 여러 VMware 소프트웨어 취약점을 알게 되었습니다. CVE-2022-22954 (기본 점수: 9.8/10) 및 CVE-2022-22960 (기본 점수: 7.8/10) 해커들이 적극적으로 악용하고 있습니다. 이러한 취약점은 특정 버전의 VMware Workspace ONE Access, VMware Identity Manager(vIDM), VMware vRealize Automation(vRA), VMware Cloud Foundation 및 vRealize Suite Lifecycle Manager에 영향을 미칩니다. 이러한 취약점을 악용하면 해커가 서버 측 템플릿 주입을 트리거하여 다음과 같은 결과를 초래할 수 있습니다. 원격 코드 실행(RCE) (CVE-2022-22954) 또는 루트로의 권한 상승(CVE-2022-22960).

VMware는 2022년 4월 6일에 두 가지 취약점에 대한 업데이트를 발표했지만, CISA에 따르면 해커들은 48시간 이내에 해당 업데이트를 역분석하여 익스플로잇을 개발했고, 패치가 적용되지 않은 기기에서 해당 취약점을 신속하게 악용하기 시작했습니다. CISA는 이 익스플로잇을 일주일 후 인지하고 4월 14일과 15일에 각각 CVE-2022-22954와 CVE-2022-22960을 알려진 악용 취약점 목록에 추가했습니다. 연방 기관들은 BOD 22-01 "알려진 악용 취약점의 중대한 위험 감소" 에 따라 CVE-2022-22954와 CVE-2022-22960에 대한 업데이트를 각각 2022년 5월 5일과 5월 6일까지 적용해야 했습니다.

VMware 취약점 기술 세부 정보

CVE-2022-22954는 네트워크 접근 권한이 있는 공격자가 서버 측 템플릿 주입을 유발하여 원격 코드 실행 (RCE) 을 초래할 수 있도록 합니다 . 이 취약점은 다음 제품에 영향을 미칩니다.

- VMware Workspace ONE Access 버전 21.08.0.1, 21.08.0.0, 20.10.0.1, 20.10.0.0
- vIDM 버전 3.3.6, 3.3.5, 3.3.4, 3.3.3
- VMware 클라우드 파운데이션 4.x
- vRealize Suite LifeCycle Manager, 8.

CVE-2022-22960 취약점은 로컬 액세스 권한을 가진 해커가 지원 스크립트의 부적절한 권한을 이용하여 루트 권한으로 권한을 상승시킬 수 있도록 허용합니다. 이 취약점은 다음 제품에 영향을 미칩니다.

- VMware Workspace ONE Access 버전 21.08.0.1, 21.08.0.0, 20.10.0.1, 20.10.0.0
- vIDM 버전 3.3.6, 3.3.5, 3.3.4, 3.3.3
- vRA, 버전 7.6
- VMware 클라우드 파운데이션, 3.x, 4.x,
- vRealize Suite LifeCycle Manager, 8.x

CISA에 따르면 , 공격자는 이러한 취약점들을 연쇄적으로 악용할 수 있습니다. 2022년 4월, 한 침해 사례에서 웹 인터페이스에 네트워크 접근 권한을 가진 인증되지 않은 공격자는 CVE-2022-22954 취약점을 이용하여 VMware 사용자 계정으로 임의의 셸 명령을 실행했습니다. 이후 공격자는 CVE-2022-22960 취약점을 이용해 사용자 권한을 루트 권한으로 상승시켰습니다. 루트 권한을 확보한 공격자는 로그를 삭제하고, 권한을 추가 상승시키며, 다른 시스템으로 횡적 이동을 시도할 수 있었습니다.

당신은 무엇을해야합니까?

가능한 한 빨리 VMware 시스템에 패치를 적용하거나 패치가 적용될 때까지 영향을 받는 소프트웨어를 네트워크에서 제거하세요.

항상 최신 상태를 유지하려면 클라우드 기반 패치 관리 솔루션을 배포하여 필요할 때마다 소프트웨어를 자동으로 업데이트하는 것이 중요합니다. 대부분의 관리형 서비스 제공업체(MSP )는 관리 시스템의 패치를 위해 Connectwise , Datto , Kaseya 와 같은 주요 원격 모니터링 및 관리 (RMM) 솔루션 중 하나를 활용합니다 . 이러한 RMM 솔루션은 검증된 패치 서비스 외에도 모니터링 및 원격 액세스 기능을 고객에게 제공합니다.

앞서 언급한 RMM 솔루션을 사용하지 않는 기업을 위한 독립형 패치 관리 솔루션으로는 ManageEngine 과 Automox가 있습니다.

취약점 경고 관리 프로세스가 있나요?

CyberHoot 서비스 구독자이신 경우, 취약점 경보 관리 프로세스 문서가 포함된 정책 및 프로세스 라이브러리를 이용하실 수 있습니다. 이 문서는 이러한 상황에 어떻게 대응해야 하는지, 그리고 대응 기간은 어떻게 되는지에 대해 설명합니다. 아직 VAMP와 유사한 프로세스를 도입하지 않으셨다면, 지금이 시작하기에 좋은 시기입니다.