1,100만 개 이상의 SSH 서버가 Terrapin 공격에 취약

2주 전 독일 루르 대학교 보훔(Ruhr University Bochum)의 보안 연구원들은 공격자가 프로토콜에 의해 실행되는 연결 보안을 다운그레이드할 수 있는 SSH(Secure Shell) 암호화 네트워크 프로토콜의 취약점을 발견했습니다. Terrapin( CVE-2023-48795 , CVSS 점수 5.9)이라고 불리는 이 익스플로잇은 SSH 채널 시작 부분에 있는 일부 암호화된 패킷이 클라이언트나 서버가 인지하지 못하는 사이에 삭제될 수 있는 접두사 잘림 공격입니다.

 

이는 SSH 연결을 설정할 때 시퀀스 번호를 조작하고 클라이언트와 서버 간에 교환된 메시지를 구체적으로 제거하는 핸드셰이크 프로세스 중에 수행됩니다. Terrapin 공격을 수행하려면 공격자는 네트워크 계층에서 중간자 위치(AitM이라고도 하며 중간자 또는 MitM이라고도 함)에 있어야 핸드셰이크 교환을 가로채고 수정할 수 있습니다. 연결은 ChaCha20-Poly1305 또는 Encrypt-then-MAC를 사용하는 CBC로 보호되어야 합니다.

 

연구원들은 논문에서 “이 공격은 실제로 수행될 수 있으며 공격자가 기록에서 확장 협상 메시지(RFC8308)를 잘라 연결 보안을 다운그레이드할 수 있도록 허용합니다.”라고 설명했습니다 . "잘림으로 인해 덜 안전한 클라이언트 인증 알고리즘을 사용하고 OpenSSH 9.5의 키 입력 타이밍 공격에 대한 특정 대책이 비활성화될 수 있습니다."

 

이제 보안 위협 모니터링 플랫폼 Shadowserver의 최근 검사 에서는 Terrapin 공격에 취약한 SSH 서버를 노출하는 거의 1,100만 개의 IP 주소가 있다고 경고했습니다. 해당 주소 중 거의 3분의 1인 330만 개가 미국에서 확인되었으며, 중국(130만), 독일(100만), 러시아(700,000), 싱가포르(390,000), 일본(380,000)이 그 뒤를 이었습니다.

 

이는 Shadowserver Foundation의 모니터링 시스템에서 분석된 전체 IPv4 및 IPv6 주소의 약 52%에 해당합니다. Terrapin 공격의 조건을 고려할 때 1,100만 개의 SSH 서버(고유 IP별) 전체가 즉시 공격을 받을 위험에 처해 있는 것은 아니지만 여전히 사이버 범죄자가 악용할 수 있는 가능성이 많이 남아 있습니다.

 

Ruhr University Bochum 연구원은  SSH 클라이언트 또는 서버가 Terrapin에 취약한지 확인하려는 Linux, Windows 및 macOS 사용자를 위해 GitHub 저장소 에 취약성 스캐너를 제공했습니다.

 

*참조한 원본 글: https://www.techworm.net/2024/01/million-ssh-server-vulnerable-terrapin-attack.html

 

막힌 토렌트 사이트 차단 해제 방법 (프록시 목록) 2023 최신판

 

 

내 휴대폰이 해킹되었는지 확인하는 방법: 8가지 증거