"방문자와 외부인 관리하기 위한 시스템에서 취약점 다수 발견돼" 기사 스크랩

2019.03.05 

"방문자와 외부인 관리하기 위한 시스템에서 취약점 다수 발견돼"

출처 보안뉴스 :  https://www.boannews.com/media/view.asp?idx=77522

---

* 요약 *

IBM 침투 테스트 팀 엑스포 레드에서 방문자 시스템 취약점을 연구하였는데 취약점이 19개나 발견되었다.

방문자 시스템 TOP5 제품에서 발견된 취약점으로 IBM에서 취약점을 찾기위한 목표는 다음과 같았다.

1. 신분 확인을 위한 정보가 없는 방문자가 시스템을 직원처럼 통과할 수 있는가?

2. 방문자 관리 시스템으로부터 다른 사람의 정보를 추출하는게 가능한가?

3. 애플리케이션을 탈출해 시스템을 마비시키거나 임의의 코드를 실행시킬 수 있는가?

IBM은 세 가지 모두 성공시켰으며 대체적으로 고위험군의 취약점을 발견했고 Exploit까지 성공시켰다.

---

* 지극히 개인적인 나의 생각 *

우선적으로 이러한 시스템은 공공적으로 노출이 되어있기 때문에 공격을 시도하기 좋은 것 같다.

물리적인 침입을 막기위해서 사용된다고 하지만 보안이 뚫렸을 경우 개인정보가 노출되기 때문에

이러한 시스템을 만들 때는 각별히 주의해야한다. 19개의 취약점이 나왔다는 것은 문제가 있다고 생각한다.

기술이 발전함에 따라 보안이 따라가지 못한다는 말은 역시나 맞는말 같다.

19개의 취약점 중 대부분이 권한 상승이거나 기록과 데이터베이스에 관련된 취약점이었다.

정확히 어떤식으로 취약점 분석을 진행했는지는 알 수 없지만

아이디와 패스워드없이  진행되기 때문에 사용자 정보를 입력받는 공간을 조작했다고 생각한다.

필터링은 당연히 적용시켰을 것 같고.. 

재미있는 점은 이러한 방문자 시스템취약점 목록을 보면

운전면허 정보같은 내용도 들어있는데 굳이 과하게 정보를 받을 필요가 있을까?

어처피 물리보안하는 사람도 같이 있고 CCTV도 있는데..

---