Wins Security Information

취약점 정보

앞 내용 보기 다음 내용 보기
취약점 정보[CVE-2021-22652] Advantech iView RCE
작성일 2021-02-26 조회 188

 

Advantech Authorized Distributor | Avnet Asia Pacific

 

 

Advantech iView RCE(Remote Code Execution) 취약점이 존재합니다.

 

Advantech iView는 지능형 FTTx, 광학 액세스 및 미디어 변환 솔루션과 함께 무료로 제공되는 단순 네트워크 관리 프로토콜 기반 요소 관리 소프트웨어로, 웹 기반 응용 프로그램으로 설계되었습니다.

 

해당 취약점은 exportInventoryTable 메소드를 호출할 때 col_list 매개 변수의 값을 제대로 검사하지 않아 발생합니다. 원격의 공격자는 악의적으로 조작된 HTTP 요청을 전송하여 공격할 수 있습니다.

 

공격 성공 시, 임의의 코드가 실행될 수 있습니다.

 

 

 

취약점 설명

 

NVD - CVE-2021-22652

CVSS v2.0 Severity and Metrics:

Base Score: 7.5 HIGH

 

 

[그림1. NVD 내역]

 

 

 

취약점 분석

 

Advantech iView에 액세스할 때 인증이 누락되어 원격의 공격자가 구성을 변경하고 임의의 코드가 실행될 수 있습니다.

 

취약점에 대한 공격은 iView 웹 인터페이스가 일반적으로 인터넷에 노출되지 않으며 iView가 일반적으로 내부 웹 애플리케이션으로 배포된다는 사실에 의해 제한될 수 있습니다따라서 공격자는 먼저 iView 서버에 연결해야 합니다.

 

따라서, 해당 공격은 아래의 순서로 진행됩니다.

 

 1. iView 구성 검색

 

 2. EXPORT 경로, wepappsiView3로 업데이트

 

 3. 명령 실행을 제공하는 JSP stub 작성

 

 4. 임의의 코드 실행

 

 

취약한 버전은 5.7 및 이전 버전들이며, 패치된 버전은 5.7.03.6112입니다.

 

 

 

공격 분석 및 테스트

 

CVE-2021-22642의 공격 패킷은 다음과 같습니다.

 

 

[그림3. 취약한 부분]

 

 

 

취약점 대응 방안

 

1. 최신 버전 사용

 

해당 벤더사에서 발표한 최신의 버전으로 업데이트한다.

 

https://www.advantech.com/support/details/firmware?id=1-HIPU-183

 

 

 

2. WINS Sniper 제품군 대응 방안

 

[5360] Advantech iView col_list RCE

 

첨부파일 첨부파일이 없습니다.
태그 CVE-2021-22652  Advantech iView  RCE