위협 행위자들은 공급업체가 이를 공개한 지 하루도 채 지나지 않아 Progress MOVEit Transfer의 심각한 인증 우회 결함을 악용하려 하고 있습니다.
MOVEit Transfer는 SFTP, SCP, HTTP 프로토콜을 사용하여 비즈니스 파트너와 고객 간에 파일을 안전하게 전송하는 기업 환경에서 사용되는 관리형 파일 전송(MFT) 솔루션입니다.
새롭게 발견된 보안 문제는 CVE-2024-5806이라는 식별자를 받았으며, 공격자가 SSH를 통한 파일 전송 작업을 담당하는 SFTP(Secure File Transfer Protocol) 모듈의 인증 프로세스를 우회할 수 있도록 허용합니다.
이 결함을 악용하는 공격자는 MOVEit Transfer 서버에 저장된 중요 데이터에 액세스하고 파일을 업로드, 다운로드, 삭제 또는 수정하고 파일 전송을 가로채거나 변조할 수 있습니다.
사용 가능한 익스플로잇 코드
위협 모니터링 플랫폼인 Shadowserver Foundation은 Progress가 CVE-2024-5806에 대한 보안 공지를 발표한 직후 악용 시도가 발견되었다고 보고했으므로 해커들은 이미 취약한 엔드포인트를 공격하고 있는 셈입니다.
Censys의 네트워크 검색에 따르면 현재 인터넷에 노출된 MOVEit Transfer 인스턴스가 약 2,700개 있으며, 대부분은 미국, 영국, 독일, 캐나다, 네덜란드에 위치해 있습니다.
출처: Censys
하지만 타사의 결함에 대한 보안 업데이트 및/또는 제안된 완화책을 적용하지 않은 사람의 비율은 알 수 없습니다.
ShadowServer가 악용 시도에 대해 보고한 것은 공격적 보안 회사인 watchTowr이 취약성에 대한 기술적 세부 정보, 악용 방법, 그리고 방어자가 악용 징후를 확인하기 위해 로그에서 찾아야 할 내용을 공개한 데 따른 것입니다.
watchTowr은 또한 공격자가 SSH 공개 키 경로를 조작하여 공격자가 제어하는 경로를 사용하여 서버가 인증하도록 강제하는 방법에 대한 기술적 분석을 제공하며, 잠재적으로 Net-NTLMv2 해시를 노출시킬 수 있습니다.
또한, CVE-2024-5806에 대한 개념 증명 악용 코드는 watchTowr과 취약성 연구원인 Sina Kheirkhah, Aliz Hammond를 통해 이미 공개적으로 제공됩니다.
이 정보가 공개되면서 앞으로 며칠 안에 공격이 더욱 심해질 것이므로, 조직에서는 관련 보안 업데이트와 완화 조치를 가능한 한 빨리 적용하는 것이 중요합니다.
CVE-2024-5806에 대한 패치가 릴리스되었습니다.
보안 공지에서 Progress가 설명한 대로 CVE-2024-5806은 다음 제품 버전에 영향을 미칩니다.
- 2023.0.0 2023.0.11 이전
- 2023.1.0 2023.1.6 이전
- 2024.0.0 2024.0.2 이전
수정된 내용은 Progress Community 포털에서 제공되는 MOVEit Transfer 2023.0.11, 2023.1.6 및 2024.0.2에서 확인할 수 있습니다.
현재 유지 관리 계약이 없는 고객은 문제를 해결하기 위해 즉시 Renewals 팀이나 Progress 파트너 담당자에게 연락해야 합니다.
MOVEit Cloud 고객은 패치가 이미 자동으로 배포되었으므로 심각한 결함을 완화하기 위해 아무런 조치를 취할 필요가 없습니다.
결함 자체 외에도 Progress에서는 MOVEit Transfer에서 사용되는 타사 구성 요소에 별도의 취약성을 발견했으며, 이로 인해 CVE-2024-5806과 관련된 위험이 커졌다고 밝혔습니다.
타사 공급업체에서 수정판을 제공할 때까지 이 결함을 완화하기 위해 시스템 관리자는 MOVEit 전송 서버에 대한 원격 데스크톱 프로토콜(RDP) 액세스를 차단하고 알려지거나 신뢰할 수 있는 엔드포인트로의 아웃바운드 연결을 제한하는 것이 좋습니다.
Progress에서는 MOVEit Gateway 2024.0.0에 영향을 미치는 유사한 인증 우회 문제인 CVE-2024-5805에 대한 보안 공지도 발표했습니다.
MOVEit은 기업 환경에서 널리 사용되고 있으며 해커들은 이 제품의 취약점과 악용 사례에 주목하고 있습니다. 특히 Clop 랜섬웨어가 작년에 제로데이를 이용해 수천 개의 조직을 침해하고 협박한 이후로 더욱 그렇습니다.
