[보안뉴스] 2019년 8월 4주 동향

 

 

 

 

The Hackers News 발췌분

 

 

Google, Mozilla, Apple Block Kazakhstan's Root CA Certificate to prevent Spying (2019-08-21)

 

l  카자흐스탄 정부의 감시로부터 카자흐스탄 사용자들을 보호하기 위해 Google, Apple, Mozila 웹 브라우저 내 포함되어 있었던 카자흐스탄 정부가 발행한 루트 CA 인증서가 차단되었습니다.

l  사용자가 해당 루트 CA 인증서를 설치하면 정부가 시민의 온라인 활동을 감시할 수 있을 뿐만 아니라 브라우저와 웹사이트 간의 네트워크 통신의 가로채기 및 복호화가 가능하기 때문에 MITM(Monster-in-the-Middle) 공격이 유발될 수 있습니다. 또한, 커스텀 CA 인증서 설치가 가능해지므로, 해커가 비공식 웹 사이트 및 소스에서 악의적인 루트 인증서를 설치할 수 있기 때문에 사회 공학적 공격의 위험에 노출되게 됩니다. 카자흐스탄 정부는 전 세계의 비판에 직면한 후 시민의 인터넷 트래픽을 가로채려는 계획을 포기했습니다.

l  Google과 Mozila는 카자흐스탄 정부 루트 인증서를 이미 설치한 경우에는 기기에서 제거하고 각 온라인 계정의 비밀번호를 즉시 변경하도록 권장하고 있습니다.

l  뉴스보기

 

 

8 New HTTP/2 Implementation Flaws Expose Websites to DoS Attacks (2019-08-14)

 

l  오늘날 인터넷의 모든 사이트 중 약 40%가 HTTP/2 프로토콜을 사용하여 실행되고 있습니다. 최신 버전의 HTTP 네트워크 프로토콜인 HTTP/2에서 Apache, Microsoft의 IIS 및 NGINX를 포함하여 가장 널리 사용되는 웹 서버 소프트웨어에 영향을 미치는 여러 보안 취약점이 발견되었습니다.

l  발견된 8가지 취약점들은 심각도가 높은 항목이어서 취약한 HTTP/2로 구현되어 있는 웹 서버에서 실행 중인 수백만 개의 온라인 서비스 및 웹 사이트에 대한 DoS 공격이 가능해지며, 이를 통해 모든 사람을 오프라인 상태로 만들 수 있습니다. 취약점은 다음과 같습니다.

ü  CVE-2019-9511 - HTTP/2 "Data Dribble"

ü  CVE-2019-9512 - HTTP/2 "Ping Flood"

ü  CVE-2019-9513 - HTTP/2 "Resource Loop"

ü  CVE-2019-9514 - HTTP/2 "Reset Flood"

ü  CVE-2019-9515 - HTTP/2 "Settings Flood"

ü  CVE-2019-9516 - HTTP/2 "0-Length Headers leak"

ü  CVE-2019-9517 - HTTP/2 "Internal Data Buffering"

ü  CVE-2019-9518 - HTTP/2 "Request Data/Header Flood"

l  하지만 이 취약점은 DoS 조건을 유발하는 데만 사용될 수 있으며 보고된 HTTP/2 결함을 공개하기 위해 Google 및 CERT Coordination Center와 협력 한 Netflix 보안 팀은 영향을 받는 각 공급 업체 및 관리자에게 책임 있게 보고하였습니다. CERT에 의하면 관련 벤더들 중 보안 패치 및 권고사항을 제공하고 있는 벤더들이 이미 많이 있다고 합니다.

l  뉴스보기

 

 

New Bluetooth Vulnerability Lets Attackers Spy On Encrypted Connections (2019-08-14)

 

l  스마트폰, 노트북, 스마트 IoT 장치, 산업용 장치를 포함한 10억 개 이상의 블루투스 지원 장치가 두 장치 간에 전송되는 데이터를 공격자가 스파이 할 수 있는 높은 심각도의 취약성에 취약하다는 것이 밝혀졌습니다.

l  CVE-2019-9506으로 지정된 이 취약성은 '암호화 키 협상 프로토콜' 방식에 있으며 두 블루투스 BR/EDR 장치가 연결을 보호하기 위해 페어링 하는 동안 암호화 키에 대한 엔트로피 값을 선택할 수 있게 합니다. 이 취약점으로 인해 대상 장치와 가까운 원격 공격자가 두 쌍의 장치 간에 암호화된 Bluetooth 트래픽을 가로채거나 모니터링하여 조작할 수 있습니다.

l  KNOB 공격을 완화하기 위해 Bluetooth 사양의 유지 관리자는 BR/EDR 연결에 대해 최소 7 옥텟의 암호화 키 길이를 적용할 것을 강력히 권고합니다. 이 취약성을 해결하기 위해 영향을 받는 여러 공급업체는 이미 다음과 같은 운영 체제, 펌웨어 및 소프트웨어에 대한 보안 업데이트를 릴리스하기 시작했습니다.

l  뉴스보기

 

 

KISA 보안공지

 

지라(Jira) 원격코드실행 취약점 보안 업데이트 권고 (2019-08-19)

 

 

기타 동향

 

 

인기 높은 MS SQL 서버 공격, 아시아권에서 급증 (2019-08-23)

l  마이크로소프트 SQL 서버에 대한 공략, 최근 아시아 지역에서 많이 발생함.

l  현재는 베트남이 1위, 러시아가 2위. 주로 암호화폐를 채굴하고자 하는 자들의 소행.

l  SQL 서버 관리자 계정의 암호를 강력하게 설정하고 브루트포스 공격 못하게 해야 함.

l  뉴스보기

 

 

이전 iOS 버전에 있었던 취약점을 최신 버전 통해 부활시킨 애플 (2019-08-21)

l  애플, iOS 12.4 개발하면서 이전 버전에서 발견됐던 취약점 부활시킴.

l  이를 간파한 한 보안 전문가가 아이폰 탈옥 방법을 개발해 공개함.

l  공격자가 이를 활용할 경우 임의의 앱을 설치할 수 있게 됨. 사용자들은 링크 클릭과 앱 설치에 각별히 주의해야 함.

l  뉴스보기

 

 

오픈소스 관리 툴 웹민, 1년 간 ‘국제 백도어’로 사용된 듯 (2019-08-20)

l  리눅스와 유닉스 관리 인터페이스인 웹민, 1년 동안 백도어로 사용된 듯.

l  누군가 웹민 개발 인프라 침해해 설치파일을 감염시킨 것으로 보여 조사 진행 중.

l  웹민 1.930과 유저민 1.780으로 업데이트 해야 안전.

l  뉴스보기