🇰🇷 한글 설명
Trend Micro InterScan Messaging Security Virtual Appliance 9.1-1600에서 인증된 사용자가 saveCert.imss 엔드포인트의 부적절한 블랙리스팅 필터를 우회하여 임의의 OS 명령을 주입할 수 있습니다. 이로 인해 웹 서버 사용자(root) 권한으로 명령 실행이 가능하며, 기본 관리자 자격증명의 존재로 인해 악용이 용이합니다.
💡 쉬운 설명
이메일 보안 소프트웨어에 입력값 검증이 부족하여 관리자가 시스템 명령을 실행할 수 있는 결함이 있습니다. 기본 비밀번호로 접근 가능해서 누구나 이를 악용할 수 있습니다.
🇺🇸 원문 (English)
An issue was discovered in Trend Micro InterScan Messaging Security (Virtual Appliance) 9.1-1600. An authenticated user can execute a terminal command in the context of the web server user (which is root). Besides, the default installation of IMSVA comes with default administrator credentials. The saveCert.imss endpoint takes several user inputs and performs blacklisting. After that, it uses them as arguments to a predefined operating-system command without proper sanitization. However, because of an improper blacklisting rule, it's possible to inject arbitrary commands into it.
📍 영향받는 시스템
Trend Micro InterScan Messaging Security (Virtual Appliance) 버전 9.1-1600
⚔️ 공격 벡터
saveCert.imss 엔드포인트의 불충분한 입력 살균으로 인한 OS 명령 주입 (인증 필요)
🛡️ 대응 방법
공식 보안 패치 적용 및 기본 관리자 자격증명을 강력한 비밀번호로 변경
🔧 검증 코드
응답에 'success' 또는 'execute' 관련 메시지가 포함되면 취약점이 존재할 가능성이 높으며, 패치 여부를 공식 버전 확인으로 검증해야 합니다.
curl -s -u admin:imss8 http://target:8080/api/saveCert.imss -X POST -d 'cert=test' 2>/dev/null | grep -E 'success|error|execute'
📊 CVSS Vector String
CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
Cisco Email Security Appliance