상세 컨텐츠

본문 제목

QNAP, NAS 기기에 영향을 미치는 OpenSSL 취약점 패치 중

국내외 보안동향

by 알약4 2021. 9. 2. 09:00

본문

 

 

QNAP Working on Patches for OpenSSL Flaws Affecting its NAS Devices

 

NAS 제조 업체인 QNAP이 최근 패치된 OpenSSL 취약점 2개가 미치는 영향에 대해 조사 중이라 밝혔습니다. 만약 자사의 제품이 이에 취약한 것으로 판명될 경우 보안 업데이트를 출시할 예정이라고도 덧붙였습니다.

 

CVE-2021-3711(CVSS 점수: 7.5), CVE-2021-3712(CVSS 점수: 4.4)로 등록된 이 취약점은 SM2 복호화 기능에 존재하는 심각도 높은 버퍼 오버플로우 이슈와 ASN.1 문자열 처리 시 발생하는 버퍼 오버런 이슈입니다.

 

공격자는 이를 악용해 임의 코드 실행, 서비스 거부 상태 유발, 개인 키 또는 민감 텍스트 등 개인 메모리 내 콘텐츠를 공개할 수 있습니다.

 

CVE-2021-3711 - OpenSSL SM2 복호화 버퍼 오버플로우

CVE-2021-3712 - ASN.1 문자열 처리 시 읽기 버퍼 오버런

  

CVE-2021-3711 취약점 관련 권고에서는 아래와 같이 설명되었습니다.

 

"악성 공격자가 응용 프로그램에 복호화를 위한 SM2 콘텐츠를 제공하는 것이 가능할 경우, 공격자가 선택한 데이터가 버퍼를 최대 62바이트까지 오버플로우하도록 하여 버퍼 뒤에 보관된 다른 데이터의 콘텐츠를 변경해 애플리케이션의 동작을 변경하거나 충돌시키는 것이 가능합니다.”

 

SSL 또는 TLS를 사용하여 암호화된 연결을 제공하는 유명 오픈소스 암호화 라이브러리인 OpenSSL 8 24 OpenSSL 1.1.1l, 1.0.2za 버전을 공개해 해당 문제를 해결했습니다.

 

한편, NetApp은 지난 화요일 해당 취약점이 아래 제품에 영향을 미친다는 것을 확인했으며, 나머지 라인업을 계속 평가하는 중이라 밝혔습니다.

 

Clustered Data ONTAP

Clustered Data ONTAP Antivirus Connector

E-Series SANtricity OS Controller Software 11.x

NetApp Manageability SDK

NetApp SANtricity SMI-S Provider

NetApp SolidFire & HCI Management Node

NetApp Storage Encryption

 

이는 NAS 제조사인 Synology가 이 두 취약점에 영향을 받았는지 확인하기 위해 DSM 7.0, DSM 6.2, DSM UC, SkyNAS, VS960HD, SRM 1.2, VPN Plus Server, VPN Server를 포함한 여러 모델을 조사하기 시작했다고 발표한 후 며칠이 지나지 않아 공개되었습니다.

 

"원격 공격자는 취약점 다수를 악용하여 서비스 거부 공격을 수행하거나 Synology DiskStation Manager(DSM), Synology Router Manager(SRM), VPN Plus Server, VPN Server의 취약한 버전을 통해 임의 코드를 실행할 수 있습니다."

 

제품에 OpenSSL을 사용하는 다른 회사들 또한 아래와 같이 보안 공지를 발표했습니다.

 

 

 

 

  

출처:

https://thehackernews.com/2021/09/qnap-working-on-patches-for-openssl.html

https://www.qnap.com/en/security-advisory/qsa-21-39

https://www.synology.com/en-us/security/advisory/Synology_SA_21_24

https://security.netapp.com/advisory/ntap-20210827-0010/

관련글 더보기

댓글 영역