[ 클라우드 ] CSAP -CCE 취약점 가이드--( XE-09. SUID(Set User-ID), SGID(Set Group-ID) )

 

 

 

진단항목

 

 XE-09. SUID(Set User-ID), SGID(Set Group-ID) 

 

 

 

 

 

 

 

취약도 

 

하

 

 

 

 

 

 

항목설명
 

SUID(Set User-ID)와 SGID(Set Group-ID)가 설정된 파일의 경우, 특히 root 소유의 파일인 경우, BufferOverflow 공격과 Local 공격에 많이 사용되는 매우 보안상 관리가 필요한 파일들로 이들 파일들의 주기적인 관리가 필요하다. 보안에 취약한 root 소유의 setuid 파일들의 경우에는 꼭 필요한 파일을 제외하고는 그 외 setuid, setgid 파일에 대하여 setuid, setgid 속성을 제거해주고, 잘못 설정되어 보안 위협이 되고 있는지 주기적인 점검 및 관리가 요구된다. 

 

 

 

*** SUID는 파일을 실행할 때 실행자의 ID를 파일 소유자의 ID로 변경하는 권한이고, SGID는 파일을 실행할 때 실행자의 그룹 ID를 파일 소유 그룹의 ID로 변경하는 권한

 

 

 

 

 

진단기준

 

양호 불필요한 SUID, SGID가 설정되어 있지 않은 경우
취약 불필요한 SUID, SGID가 설정되어 있는 경우

 

 

 

 

 

 

 

 

진단방법

 

<XenServer>
▪ SUID, SGID 검색
 # find / -user root –type f \(-perm –400 –o –perm –2000 \) -exec ls –lg {} \;

 

 

위 명령어는 리눅스에서 루트 사용자 소유의 파일 중 읽기 전용(-400) 또는 쓰기 전용(-2000) 권한을 가진 파일을 찾는 명령어이다.

• find /는 루트 디렉토리부터 시작하여 하위 디렉토리까지 모든 파일을 검색
• -user root는 루트 사용자 소유의 파일만 검색
• -type f는 파일만 검색
• -perm –400 –o –perm –2000은 읽기 전용(-400) 또는 쓰기 전용(-2000) 권한을 가진 파일을 검색
• -exec ls –lg {} \;는 검색된 파일의 정보를 ls 명령으로 출력

예를 들어, 시스템에 /root/secret.txt라는 파일이 있고 이 파일의 권한이 -400이라면 다음과 같이 출력된다.

-rw------- 1 root root 0 2023-10-18 10:00 /root/secret.txt

이 명령어는 루트 사용자 권한이 필요하다.

-exec 옵션의 매개변수로 {}는 검색된 파일의 경로를 나타내며  \;는 명령의 종료를 나타낸다.

검색된 파일의 경로를 {} 변수에 저장한다.

 

 

다음은 명령어의 각 옵션에 대한 설명입니다.

• find 명령어는 파일 시스템에서 파일을 검색하는 데 사용된다.
• -user 옵션은 지정된 사용자 소유의 파일만 검색한다.
• -type 옵션은 지정된 유형의 파일만 검색한다.
• -perm 옵션은 파일의 권한을 지정한다.
• -exec 옵션은 검색된 파일에 대한 명령을 실행한다.
• ls 명령어는 파일 시스템의 파일과 디렉토리를 나열한다..
• -lg 옵션은 파일의 크기, 소유자, 그룹, 권한 등을 포함하여 자세한 정보를 출력한다.

 

 

 

불필요한 Setuid, Setgid 목록

[XenServer]
/sbin/dump 

/usr/bin/lpd-lpd 

/usr/bin/newgrp
/sbin/restore 

/usr/bin/lpr 

/usr/sbin/lpc
/sbin/Linux_chkpwd 

/usr/bin/lpr-lpd 

/usr/sbin/lpc-lpd
/usr/bin/at 

/usr/bin/lprm 

/usr/sbin/traceroute
/usr/bin/lpq 

/usr/bin/lpm-lpd

 

 

 

 

 

 

 

조치방법

 

<XenServer>
▪ 불필요한 SUID, SGID 제거

 # chmod –s [파일명]

 

*** 위 명령을 실행하면 파일의 권한에서 s 권한이 제거

*** s 권한은 파일을 실행할 때 실행자의 ID를 파일 소유자의 ID로 변경하거나, 파일을 실행할 때 실행자의 그룹 ID를 파일 소유 그룹의 ID로 변경하는 권한

 

 

 

 

 

---