🇰🇷 한글 설명
Entrust Instant Financial Issuance(IFI) On Premise 소프트웨어의 Legacy Remoting Service에서 보안이 취약한 .NET Remoting 노출이 발견되었습니다. 공격자는 인증 없이 원격에서 임의 파일을 읽거나, 인증 강제 및 임의 파일 쓰기를 통해 원격 코드 실행(RCE)을 달성할 수 있습니다.
💡 쉬운 설명
소프트웨어의 특정 통신 기능이 보안 설정 없이 외부로 열려 있어, 해커가 서버의 파일을 훔쳐보거나 컴퓨터를 마음대로 조종할 수 있는 위험한 상태입니다.
🇺🇸 원문 (English)
Entrust Instant Financial Issuance (IFI) On Premise software (formerly referred to as CardWizard) versions 5.x, prior to 6.10.5, and prior to 6.11.1 contain an insecure .NET Remoting exposure in the Legacy Remoting Service that is enabled by default. The service registers a TCP remoting channel with SOAP and binary formatters configured at TypeFilterLevel=Full and exposes default ObjectURI endpoints such as logfile.rem, photo.rem, cwPhoto.rem, and reports.rem on a network-reachable remoting port. A remote, unauthenticated attacker who can reach the remoting port can invoke exposed remoting objects to read arbitrary files from the server and coerce outbound authentication, and may achieve arbitrary file write and remote code execution via known .NET Remoting exploitation techniques. This can lead to disclosure of sensitive installation and service-account data and compromise of the affected host.
📍 영향받는 시스템
Entrust IFI On Premise (구 CardWizard) 5.x 버전, 6.10.5 미만 및 6.11.1 미만 버전
⚔️ 공격 벡터
네트워크를 통해 노출된 .NET Remoting 포트의 특정 엔드포인트(logfile.rem 등)를 이용한 원격 공격
🛡️ 대응 방법
최신 보안 패치가 적용된 버전(6.10.5 이상 또는 6.11.1 이상)으로 업데이트하십시오.
🔧 검증 코드
지정된 포트가 열려 있고 특정 .rem 엔드포인트에 대한 응답이 확인되면 취약한 상태입니다.
netstat -an | grep :[PORT_NUMBER] && curl -I http://[TARGET_IP]:[PORT_NUMBER]/logfile.rem