목차
GoAnywhere MFT 정보
GoAnywhere MFT(Managed File Transfer)는 Fortra1에서 개발한 웹 기반 관리 파일 전송 도구이다.
- 조직 구성원들이 파일을 안전하게 전송 및 공유할 수 있게하며, 공유 파일에 대한 접근 로그를 관리한다.
- 소규모 조직부터 Fortune 500 기업, 비영리 단체, 정부 기관에 이르기까지 다양한 고객층에서 사용된다.
취약점 정보
Fortra는 1월 22일 자사 홈페이지를 통해2 GoAnywhere MFT의 인증 우회(Authentication Bypass) 취약점 CVE-2024-0204에 대한 정보를 공개 했다.
공격자가 인증 절차를 우회하여 관리 포털의 관리자 계정을 생성할 수 있 는 심각한 취약점으로, 공격이 성공할 경우 데이터 유출, 시스템 장악, 추가적인 공격을 위한 기반 마련 등 심각한 결과를 가져올 수 있다.
CVE-2024-0204
GoAnywhere MFT의 인증우회 취약점으로, 공격자가 장치 관리 포털의 사용자 인증을 우회하여 관리자 계정을 생성할 수 있는 CVSS 9.8점의 매우 심각한 취약점이다.
이 취약점에 영향을 받는 장치는 아래와 같다
- Fortra GoAnywhere MFT
6.0.1부터6.x버젼 - Fortra GoAnywhere MFT
7.4.1이전까지의7.x버젼
Horizon3.ai 에서는 이 취약점에 대한 분석 리포트3를 공개하고, 취약점에 대한 개념증명코드4(PoC, Proof-Of-Concept) 또한 자사의 깃허브 리포지토리에 공개했다.
CVE-2023-0669
2023년 발표된 GoAnywhere MFT의 원격코드실행(RCE, Remote Code Execution) 취약점으로 CVSS는 7.2로 상대적으로 낮지만, Cl0p 랜섬웨어 그룹에 의해 사용된 사례가 있 다. 위 취약점과 연계하여 더 큰 피해를 만들어 낼 수 있는 취약점이다.
침해 여부 확인
Forta 보고서에 따르면 아래의 제품이 CVE-2024-0204에 취약하다.
- Fortra GoAnywhere MFT
6.0.1부터6.x버젼 - Fortra GoAnywhere MFT
7.4.1이전까지의7.x버젼
운영중인 소프트웨어의 버젼 확인 후, 침해로 인한 새로운 관리자가 생성되었는지 GoAnywhere 관리자 포털의 ‘Admin Users‘ 섹션에서 관리자 그룹의 추가 여부를 확인한다.
침해 예방 조치
Forta에서 취약점을 수정한 새로운 버젼을 릴리즈 했으므로, GoAnywhere MFT를 최신 버전(7.4.1 이상)으로 업그레이드한다. 만약 업그레이드가 불가능한 경우, 임시 조치로 InitialAccountSetup.xhtml 파일을 삭제하거나 빈 파일로 교체한 후 서비스를 재시작한다.
요약(TL;DR)
Fortra의 GoAnywhere MFT 소프트웨어에서 공격자가 관리 포털의 새로운 관리자 계정을 생성할 수 있는 심각한 인증 우회 취약점이 발견되었다. 해당 취약점은 CVE-2024-0204으로 높은 위험도(9.8)의 취약점이다.
먼저 취약한 버젼을 사용하고 있다면, 관리자 포털에서 새로운 관리자 계정의 추가 여부를 확인하여 시스템의 침해 유무를 확인해야한다. 이 취약점을 성공적으로 공격 시, 관리자 권한을 장악하여 심각한 피해로 이어질 수 있으므로, GoAnywhere MFT 소프트웨어에 대한 즉각적인 버젼 업데이트 적용이 필요하며, 불가능한 경우라면 공격에 악용되는 InitialAccountSetup.xhtml 파일을 접근 및 실행 할 수 없도록 조치를 취해야 한다.
참고자료
- Fortra homepage
https://www.fortra.com/ ↩︎ - Fortra’ Security and Trust Center
https://www.fortra.com/security/advisory/fi-2024-001 ↩︎ - CVE-2024-0204: Fortra GoAnywhere MFT Authentication Bypass Deep-Dive
https://www.horizon3.ai/cve-2024-0204-fortra-goanywhere-mft-authentication-bypass-deep-dive/ ↩︎ - CVE-2024-0204: Authentication Bypass in GoAnywhere MFT
https://github.com/horizon3ai/CVE-2024-0204 ↩︎