1. 취약점 (KVE-2024-0285/0286/0287/0291) 권고 사항 

 ① CROWNIX 7 부적절한 이용자 인가 여부 (KVE-2024-0285) 

    CROWNIX 7 ManagerSerivce 관련 부적절한 이용자 인가 여부 취약점을 통한 관리자 계정 획득

   - 조치 내용

   ㆍ MananagerService를 통한 API 사용 시 로그인 세션을 검사하는 코드를 추가하여 관리자 로그인 없이 getUserInfo / updateUserInfo 사용할 수 없도록 조치

   ㆍ download 경로에 리눅스 OS의 루트(/)의 Window OS와 각 드라이브 루트경로를 설정하지 못하도록 조치

   - 대상 제품 

      CROWNIX Report & ERS  7.x ~ 7.4.3.599 버전

      CROWNIX Report & ERS  8.x ~ 8.0.3.79 버전

   - 해결 방안

      각 버전에 맞게 CROWNIX Report & ERS 패치

      CROWNIX Report & ERS 7.x -> 7.4.3.561 상위 버전

      CROWNIX Report & ERS 8.x -> 8.0.3.82 상위 버전

 ② CROWNIX 7,8 버전 파일다운로드 및 삭제 (KVE-2024-0286)

    부적절한 이용자 인가 여부 취약점 연계를 통한 파일다운로드 및 삭제

   - 조치 내용

    ㆍ 권한 없는 사용자가 CROWNIX Reporting Server(7.2.2.302) 관련 설정 값을 변경할 수 없도록 조치

    ㆍ 또한, html5.save.dir와 같은 다운로드관련 경로의 경우, 아무리 사용자 편의성 향상을 위한 목적이라도 루트 경로로 설정할 수 없도록 조치

    ㆍ delete true/false 와 같은 기능은 사용자 입력을 통해 변경되지 않도록 조치

   - 대상 제품 

      CROWNIX Report & ERS  7.x ~ 7.4.3.599 버전

      CROWNIX Report & ERS  8.x ~ 8.0.3.79 버전

   - 해결 방안

      각 버전에 맞게 CROWNIX Report & ERS 패치

      CROWNIX Report & ERS 7.x -> 7.4.3.561 상위 버전

      CROWNIX Report & ERS 8.x -> 8.0.3.82 상위 버전

 ③ CROWNIX Report/ERS 7 및 8버전 파일 업로드 및 실행 (KVE-2024-0287)

     CROWNIX ERS Reporting Server opcode 500 기능을 이용한 악의적인 파일 업로드 및 실행이 가능함

   - 조치 내용

    ㆍ opcode=500 에서  mrd_path 와  mrd_param 을 통해 외부데이터를 가져올 수 없도록 조치

    ㆍ mrd_param /rfn을 통해 가져오는 파일 내용에 대한 검증 및 필터링 적용 

    ㆍ 필수 파라미터 export_type와 옵션파라미터인 export_name 의 취약점 조치방안 확장자가 동일한지 검증하는 로직 추가

    ㆍ export_type이 ‘csv’인 경우, export_name의 파일 확장자를 검증하여 csv, txt, ini 까지는 허용을 하고 그 외의 확장자는 파일을 생성하지 않고 에러 처리

   - 대상 제품

      CROWNIX Report & ERS 5.x ~ 5.5.14.1070

      CROWNIX Report & ERS 7.x ~ 7.4.3.960 

      CROWNIX Report & ERS 8.x ~ 8.2.0.345 

   - 해결 방안

      각 버전에 맞게 CROWNIX Report & ERS 패치

      CROWNIX Report & ERS 5.x -> 5.5.14.1071 상위 버전

      CROWNIX Report & ERS 7.x -> 7.4.3.961 상위 버전

      CROWNIX Report & ERS 8.x -> 8.2.0.346 상위 버전 

 ④ CROWNIX Report/ERS 7 및 8버전 파일 업로드 및 실행2  (KVE-2024-0291)

    악의적인 파일 업로드 및 실행 가능

   - 조치 내용

   ㆍ export_type이 ‘csv’인 경우, export_name의 파일 확장자를 검증하여 csv, txt, ini 까지는 허용을 하고 그 외의 확장자는 파일을 생성하지 않고 에러 처리

   ㆍ mrd_param /rdata 과 mrd_data의 내용 검증 로직 추가

   ㆍ export_name 파라미터의 확장자를 확인하는 검증 로직 추가

   ㆍ export_name 파라미터의 확장자와 export_type 파라미터가 동일한지 검증 로직 추가

   ㆍ export_name 파라미터에서 ../ 와 같은 경로 이동 문자열 제한

   - 대상 제품 

      CROWNIX Report & ERS 5.x ~ 5.5.14.1070

      CROWNIX Report & ERS 7.x ~ 7.4.3.960 

      CROWNIX Report & ERS 8.x ~ 8.2.0.345 

   - 해결 방안

      각 버전에 맞게 CROWNIX Report & ERS 패치

      CROWNIX Report & ERS 5.x -> 5.5.14.1071 상위 버전

      CROWNIX Report & ERS 7.x -> 7.4.3.961 상위 버전

      CROWNIX Report & ERS 8.x -> 8.2.0.346 상위 버전 

2. 패치모듈 요청 방법 

 ㆍ기술지원 센터 유선문의 : 02-2188-8500 (후 1번)

 ㆍ기술지원 센터 메일문의 : report@m2soft.co.kr

- 문의 사항

한국 인터넷 진흥원 인터넷 침해 대응 센터 : 국번 없이 118

엠투소프트 보안 패치 관련 대응 센터 : rdvistasupport@m2soft.co.kr