워크스테이션, ESXi, 퓨전에 영향줄 수 있는 임의 코드 실행 취약점
위험도 점수는 기관마다 조금씩 달라...취약점 발견은 익명의 전문가가

[보안뉴스 문가용 기자] VM웨어(VMware)가 치명적인 임의 코드 실행 취약점을 SVGA 가상 그래픽카드에서 발견해 패치했다. 이 가상 그래픽카드는 워크스테이션(Workstation), ESXi, 퓨전(Fusion) 제품군에서 사용되는 것이라고 한다.


[이미지 = iclickart]

VM웨어가 패치와 함께 발표한 권고문에 따르면 “이 취약점 때문에 ESXi, 퓨젼, 워크스테이션 전부 아웃 오브 바운드 리드(out-of-bounds read) 오류에 노출된 상황”이라고 한다. CVE-2018-6974라고 이름이 붙은 이 취약점은 악성 게스트 사용자가 익스플로잇할 수 있으며, 호스트 내에서 임의 코드를 실행할 수 있게 해준다.

이 취약점을 발견한 건 익명의 보안 전문가로, 이 사람은 트렌드 마이크로(Trend Micro)에서 진행하는 제로데이 이니셔티브(Zero Day Initiative, ZDI)를 통해 이를 보고했다고 한다.

ZDI도 이 취약점에 대한 권고문을 별도로 발표했다. ZDI는 힙 기반의 버퍼 오버플로우(heap-based buffer overflow)라고 이 취약점을 분류하고 있으며, 권한이 낮은 로컬의 공격자가 권한을 상승시켜 임의의 코드를 실행할 수 있다고 설명한다. 또한 이 오류가 VM웨어 측으로 보고된 건 6월 중순께라고 밝히기도 했다.

“이 오류는 가상화된 SVGA를 다루는 원리 내에서 발견된 것으로, 사용자가 제공하는 데이터에 대한 확인 과정이 충분하지 않기 때문에 발생하는 것입니다. 이는 힙 기반의 버퍼가 오버플로우 되는 현상을 야기하며, 공격자가 이를 활용할 경우 호스트 OS 환경에서 코드를 실행할 수 있게 됩니다.”

또 다른 익명의 연구원이 CVE-2018-6973이라는 취약점을 ZDI에 알리기도 했다. 이는 아웃 오브 바운드 라이트(out-of-bounds write) 취약점으로, 워크스테이션과 퓨전에서 사용하는 e1000 가상 네트워크 어댑터 내에서 발견된 것이라고 한다. CVE-2018-6974와 동일한 날 ZDI에 알려진 것으로 보아(게다가 둘 다 VM웨어) 이 익명의 전문가가 동일인물일 것으로 보고 있다.

VM웨어가 이 취약점을 패치한 건 8월 중순이었다. 공격자가 이 취약점을 익스플로잇 하려면 표적이 된 시스템이나 네트워크에 대한 낮은 권한이라도 가지고 있어야만 했다.

VM웨어는 이 두 가지 취약점 모두에 ‘치명적’이라는 위험도를 부여했지만, ZDI는 “CVSS 점수가 6.9점으로 중간급 위험도 정도”라고 판명했다.

이번 달 초 VM웨어는 시스코 탈로스 팀이 워크스테이션, ESXi, 퓨전에서 발견한 디도스 관련 ‘중요’ 취약점과, 워크스페이스 원 유니파이드 엔드포인트 관리 콘솔(Workspace ONE Unified Endpoint Management Console)에서 발견된 SAML 인증 우회 취약점을 패치하기도 했다.

3줄 요약
1. VM웨어의 가상 그래픽카드에서 취약점이 발견됨. 같은 날 다른 VM웨어 시스템에서도 취약점이 발견됨.
2. 둘 다 익명의 전문가가 발견해 ZDI로 보고한 것으로, 아마도 동일인물일 듯.
3. 이 취약점 익스플로잇 하려면 낮은 권한이라도 필요함.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>