Cisco, VIRL-PE 인프라에서 발생한 보안 침해 사고 공지

Cisco discloses security breach that impacted VIRL-PE infrastructure

금일 Cisco가 보안 침해 사고를 겪었으며 백엔드 인프라의 작은 부분에 영향을 받았다고 밝혔습니다.

Cisco는 금일 보안 경고를 발행해 해커가 아래 서버 6곳에 접근하기 위해 Cisco가 일부 제품에 번들로 포함한 SaltStack 소프트웨어 패키지 내 취약점을 악용했다고 밝혔습니다.

us-1.virl.info

us-2.virl.info

us-3.virl.info

us-4.virl.info

vsm-us-1.virl.info

vsm-us-2.virl.info

이 서버 6곳은 VIRL-PE(Internet Routing Lab Personal Edition)를 위한 백엔드 인프라를 제공하는 곳입니다. 

이는 사용자가 실제로 장비를 배치하기 전 네트워크 설정을 테스트하기 위해 가상 네트워크 아키텍처를 모델링 및 생성할 수 있는 Cisco의 서비스입니다.

Cisco VIRL-PE 1.2 및 1.3을 서비스하는 Cisco가 관리하는 salt-master 서버가 해킹된 사실을 확인했습니다.

Cisco는 지난 5월 7일 SaltStack 소프트웨어용 업데이트를 배포할 당시 해킹된 모든 VIRL-PE 서버를 패치 및 치료했다고 밝혔습니다.

CML 및 VIRL-PE 기어를 사용하는 Cisco 고객들도 영향 받아

하지만, 이 문제는 Cisco의 백엔드 인프라에만 영향을 미친 것은 아니었습니다.

Cisco는 그들의 상용 제품 2개가 SaltStack 소프트웨어 패키지를 펌웨어의 일부로 번들로 제공하고 있다고 밝혔습니다. 

이 둘은 앞서 밝힌 Cisco VIRL-PE와 또 다른 네트워크 모델링 툴인 Cisco Modeling Labs Corporate Edition (CML)입니다.

VIRL-PE 및 CML 둘 모두 Cisco가 호스팅되는 온프레미스(on-premise) 시나리오에서 사용될 수 있습니다. 

이 두 제품을 현장에서 사용하는 기업들은 CML과 VIRL-PE를 패치해야합니다.

Cisco는 금일 이 두 제품에서 SaltStack 취약점 2개를 수정하는 소프트웨어 업데이트를 발행했습니다.

이 SaltStack 취약점 2건은 CVE-2020-11651(인증 우회), CVE-2020-11652(디렉터리 접근)으로 등록되었으며, 4월 30일 공개되어 지난 한 달 동안 수 없이 악용되었습니다.

이 취약점 2건으로 인해 사고가 발생했다고 신고한 곳은 OS 공급 업체인 LineageOS, 블로깅 플랫폼 Ghost, 인증 기관 Digicert, 클라우드 소프트웨어 제공 업체인 Xen Orchestra, 검색 서비스 업체인 Algolia입니다.

피해자 대부분은 해커가 SaltStack 서버를 해킹해 가상화폐 채굴 프로그램을 설치했다고 밝혔습니다. Cisco는 이 해킹 사고의 유형에 대해서는 자세히 밝히지 않았습니다.

Salt라고도 알려진 SaltStack은 데이터센터에서 사용되며 관리자가 서버 다수를 함께 클러스터링 하여 중앙에서 관리할 수 있도록 하는 소프트웨어입니다.

Cisco는 보안 공지 Cisco-SA-Salt-2vx545AG를 통해 Cisco CML 및 VIRL-PE 사용자가 패치를 진행하는데 필요한 모든 정보를 공개했습니다.

출처:

https://www.zdnet.com/article/cisco-discloses-security-breach-that-impacted-virl-pe-infrastructure/

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-salt-2vx545AG