6가지 취약점으로 인해 660,000개 이상의 Rsync 서버가 RCE 위험에 노출되었습니다.

이 블로그 글의 AI 요약으로 바로 가기

사이버 보안 업계에 우려스러운 소식이 있었습니다. 새로 발견된 6개의 취약점으로 인해 660,000개 이상의 Rsync 서버가 잠재적인 공격에 노출되었다는 소식입니다. 그중에는 서버에서 원격 코드 실행(RCE)을 가능하게 하는 심각한 힙 버퍼 오버플로 결함 (CVE-2024-12084 )이 포함되어 있습니다.

Rsync는 Linux에서 파일 동기화 및 데이터 전송에 널리 사용되는 유틸리티입니다. 많은 사용자가 증분 백업, 서버 관리, 공개적으로 파일을 배포할 때 이 유틸리티를 사용합니다. 매우 효율적인 도구이긴 하지만, 이번에 발견된 새로운 취약점은 오래된 서버를 사용하는 것의 위험성을 강조합니다.

Rsync 취약점 자세히 살펴보기

Google Cloud의 연구원 및 기타 독립 기여자들이 이러한 취약점을 발견하고 이러한 취약점이 서로 연결되어 복잡한 공격으로 연결될 수 있는 방법을 보여주었습니다. 기본적으로 이러한 취약점을 통해 공격자는 익명 액세스 또는 잘못 구성된 서버를 통해 시스템을 손상시킬 수 있습니다.

이 6가지 취약점은 3.4.0 이전 Rsync 버전에 영향을 미치며 심각도가 심각함에서 보통에 이르기까지 다양합니다:

힙 버퍼 오버플로(CVE-2024-12084)

이 취약점은 CVSS 점수가 9.8로 가장 위험합니다. 체크섬 길이가 처리되는 방식 때문에 임의의 코드 실행을 허용합니다. 3.2.7 버전부터 3.4.0까지 영향을 미칩니다. 해결 방법은 특정 플래그를 사용하여 Rsync를 다시 컴파일하여 SHA256/SHA512 지원을 비활성화하는 것입니다.

초기화되지 않은 스택을 통한 정보 유출(CVE-2024-12085)

이 결함으로 인해 체크섬 길이를 조작하여 민감한 데이터가 노출될 수 있습니다. 3.4.0 이전 모든 버전에 영향을 줍니다. 스택 콘텐츠를 초기화하는 플래그를 사용하여 컴파일하면 이 문제를 완화할 수 있습니다. CVSS 점수는 7.5(높음)입니다.

서버에서 임의의 클라이언트 파일 유출(CVE-2024-12086)

공격자는 체크섬 값을 조작하여 클라이언트 파일을 재구성할 수 있습니다. 이 취약점은 3.4.0 이전 모든 버전에 영향을 미치며 CVSS 점수는 6.1(중간)입니다.

-inc-재귀 옵션을 통한 경로 탐색(CVE-2024-12087)

이 결함을 통해 공격자는 심볼릭 링크 확인의 허점을 악용하여 의도된 디렉터리 외부에 파일을 작성할 수 있습니다. 3.4.0 이전 모든 버전에 영향을 미치며 CVSS 점수는 6.5(중간)입니다.

안전 링크 옵션 우회(CVE-2024-12088)

공격자는 중첩 경로가 있는 심볼릭 링크를 사용하여 임의의 파일을 작성할 수 있습니다. 이는 3.4.0 이전 모든 버전에 영향을 미치며 CVSS 점수는 6.5(중간)입니다.

심볼릭 레이스 조건(CVE-2024-12747)

이 취약점을 악용하면 공격자는 링크 처리 방식의 경쟁 조건을 악용하여 권한을 상승시킬 수 있습니다. 3.4.0 이전 모든 버전에 영향을 미치며 CVSS 점수는 5.6(중간)입니다.

문제의 규모

쇼단 검색 결과, 전 세계적으로 660,000개 이상의 Rsync 서버가 노출된 것으로 확인되었습니다. 놀랍게도 이 중 50만 개 이상이 중국에 있으며, 미국, 홍콩, 독일에 그보다 적은 수의 서버가 있습니다. 대부분의 서버는 기본 TCP 포트 873에서 실행되지만, 일부 서버는 포트 8873을 사용하여 SSH 터널링을 통해 Rsync를 실행합니다. 노출된 모든 서버가 취약한 것은 아니지만 익명 연결을 허용하는 서버가 가장 위험에 노출되어 있습니다.

영향을 받는 대상은 누구인가요?

CERT/CC는 이 취약점이 3.4.0 이하의 모든 Rsync 버전에 영향을 미치며, 잠재적으로 Red Hat, Ubuntu, AlmaLinux, Gentoo와 같은 주요 Linux 배포판에 영향을 미칠 수 있음을 확인했습니다. 익명 액세스를 위해 구성된 공개 미러는 공격자가 가장 심각한 결함을 악용하는 데 최소한의 액세스 권한만 있으면 되기 때문에 특히 취약합니다.

특정 취약점(예: 힙 버퍼 오버플로 및 정보 유출 결함)을 함께 사용하면 공격자는 익명의 읽기 액세스 권한만 있는 서버에서 코드를 실행할 수 있습니다. 그런 다음 공격자는 악성 서버를 사용하여 연결된 클라이언트를 대상으로 다음과 같은 주요 파일을 변조하여 민감한 데이터를 훔치거나 악성 코드를 삽입할 수 있습니다. ~/.bashrc.

안전을 위해 무엇을 할 수 있나요?

시스템 관리자와 조직이 즉시 수행해야 할 작업은 다음과 같습니다:

Rsync 3.4.0으로 업그레이드하세요: 이 버전은 보고된 모든 취약점을 수정합니다.
액세스 제한: 모든 Rsync 서버 연결에 자격 증명이 필요한지 확인합니다.
TCP 포트 873을 차단합니다: 신뢰할 수 없는 네트워크에서 Rsync 데몬에 액세스할 수 없도록 차단합니다.
보안 플래그 사용: 즉시 업그레이드할 수 없는 경우 특정 플래그를 사용하여 Rsync를 다시 컴파일하면 노출을 최소화하는 데 도움이 됩니다.

결론

레드햇의 CVE-2024-12084에 대한 권고에 따르면 기본 rsyncd 구성이 익명 파일 동기화를 허용하기 때문에 Rsync 서버가 특히 취약하다고 지적합니다. 공격자가 이러한 결함을 악용할 때까지 기다리지 말고 지금 바로 조치를 취해야 합니다. 익스플로잇 시도가 증가할 가능성이 높으므로 Rsync를 사용하는 조직은 버전 3.4.0으로 업데이트하여 위험을 완화하고 시스템을 보호하기 위해 신속하게 조치를 취해야 합니다.

이 글의 출처는 BleepingComputer의 이야기입니다.

요약