Sage X3 엔터프라이즈 관리 소프트웨어에서 치명적인 취약점 발견

 

 

Critical Flaws Reported in Sage X3 Enterprise Management Software

 

Sage X3 ERP 제품에서 보안 취약점 4개가 발견되었습니다. 이 중 2개는 공격 시퀀스의 일부로 연결되어 공격자가 악성 명령을 실행하고 취약한 시스템을 제어하도록 허용할 수 있습니다.

 

이 문제는 Rapid7의 연구원들이 발견해 2021년 2월 3일 Sage 그룹에 제보했습니다.

 

해당 업체는 지난 3월 Sage X3 버전 9 (Syracuse 9.22.7.2), Sage X3 HR & Payroll 버전 9 (Syracuse 9.24.1.3), Sage X3 버전 11 (Syracuse 11.25.2.6), Sage X3 버전 12 (Syracuse 12.10.2.8)에 대한 패치를 배포했습니다.

 

발견된 취약점 목록은 아래와 같습니다.

 

CVE-2020-7388 (CVSS 점수: 10.0) - Sage X3 AdxDSrv.exe 내 인증되지 않은 시스템 권한 원격 명령 실행 취약점 (RCE)

CVE-2020-7389 (CVSS 점수: 5.5) - 시스템 "CHAINE" 변수 스크립트 명령 인젝션 (수정 계획 없음)

CVE-2020-7387 (CVSS 점수: 5.3) - Sage X3 설치 경로 이름 공개

CVE-2020-7390 (CVSS 점수: 4.6) - 사용자 프로필의 '편집' 페이지의 Stored XSS 취약점

 

연구원들은 이에 대해 아래와 같이 설명했습니다.

 

"공격자가 CVE-2020-7387과 CVE-2020-7388을 결합할 때, 먼저 영향을 받는 소프트웨어의 설치 경로를 학습한 다음 해당 정보를 통해 SYSTEM 컨텍스트에서 실행되도록 호스트 시스템에 명령을 전달할 수 있습니다. 이를 통해 공격자는 임의 OS 명령을 실행하여 관리자 권한을 가진 사용자를 생성하고, 악성 소프트웨어를 설치하는 등 어떤 목적으로든 시스템을 완전히 제어할 수 있게 됩니다.”

 

 

<이미지 출처 : https://www.rapid7.com/blog/post/2021/07/07/cve-2020-7387-7390-multiple-sage-x3-vulnerabilities/>

 

 

이 중 가장 심각한 문제는 CVE-2020-7388로, 인터넷을 통해 접근 가능한 관리 서비스를 악용하여 "NT AUTHORITY/SYSTEM" 사용자로 서버에서 임의 명령을 실행하기 위한 악성 요청을 생성할 수 있습니다.

 

문제의 서비스는 Sage X3 Console을 통한 Sage ERP 솔루션 원격 관리에 사용됩니다.

 

또한 Sage X3 Syracuse 컴포넌트의 사용자 프로필과 연결된 ‘편집’ 페이지는 Stored XSS 공격(CVE-2020-7390)에 취약합니다. 따라서 'First name', 'Last name', 'Email' 필드의 ‘mouseOver’ 이벤트 도중 임의 자바스크립트 코드 실행이 가능해집니다.

 

“해당 취약점 악용에 성공할 경우, Sage X3의 일반 사용자가 현재 로그인한 관리자가 소유한 권한 내 기능을 실행하거나 추후 사용하기 위해 관리자 세션 쿠키를 캡처할 수 있습니다.”

 

CVE-2020-7387을 성공적으로 악용할 경우 권한이 없는 사용자에게 Sage X3 설치 경로가 노출될 수 있습니다. CVE-2020-7389을 악용할 경우 Syracuse 개발 환경에서 명령 인젝션을 통한 코드 실행 권한에 악용될 수 있는 인증이 누락될 가능성이 있습니다.

 

"설치된 Sage X3은 인터넷에 직접 노출되어서는 안되며, 필요할 경우 보호된 VPN 연결을 통해 제공되어야 합니다. 이 조언을 따를 경우 취약점 4가지를 모두 효과적으로 완화할 수 있습니다. 하지만 고객들은 여전히 패치 주기 일정을 지켜 업데이트 해야합니다."

 

 

 

 

 

출처:

https://thehackernews.com/2021/07/critical-flaws-reported-in-sage-x3.html

https://www.rapid7.com/blog/post/2021/07/07/cve-2020-7387-7390-multiple-sage-x3-vulnerabilities/