The Hackers News 발췌 분

 

Flaws in Popular RDP Clients Allow Malicious Servers to Reverse Hack PCs(2019-02-05)

 

l  사이버 보안 회사인 CheckPoint 연구원들은 최근에 가장 인기 있고 가장 많이 사용되는 RDP(Remote Desktop Protocol) 클라이언트인 FreeRDP, rdesktop, Windows 내장 RDP 클라이언트에 대한 상세한 분석을 실시했으며, 이 중 일부는 악의적인 RDP 서버가 클라이언트 RDP 소프트웨어를 실행하는 컴퓨터를 원격으로 제어할 수 있는 총 25개의 보안 결함을 확인했습니다.

l  Github에서 가장 인기 있는 오픈소스 FreeRDP는 6가지 취약성에 취약한 것으로 밝혀졌는데, 그 중 5개는 클라이언트 컴퓨터에서 원격 코드가 실행될 수 있는 주요 메모리 손상 문제들이었고, 칼리 리눅스에서 기본으로 제공되는 오래된 오픈 소스인 rdesktop은 총 19개의 취약성을 가진 가장 취약한 RDP 클라이언트인 것으로 밝혀졌으며, 이 중 11개는 악의적인 RDP 서버가 클라이언트 컴퓨터에서 임의 코드를 실행할 수 있도록 할 수 있습니다. Windows 내장 RDP 클라이언트는 원격 코드 실행 결함을 포함하지 않지만, 클라이언트와 서버가 클립보드 데이터를 공유하기 때문에 가능한 몇 가지 흥미로운 공격 시나리오를 발견하여 클라이언트가 서버 끝과 그 반대편의 클립보드 데이터에 접근하고 수정할 수 있도록 했습니다.

l  FreeRDP는 v2.0.0-rc4 릴리스의 일부로 결함을 패치하고 소프트웨어 릴리스를 통보받은 지 한 달도 되지 않아 GitHub 저장소에 배포했으며, Rdesktop은 v1.8.4 릴리스의 일부로 이 이슈들을 패치했고 1월 중순에 해결책을 내놓았습니다. 마이크로소프트는 연구 결과를 인정했지만, 마이크로소프트 보안 서비스 조건 기준에 충족되지 않으며 원격 컴퓨터에 연결할 때 기본적으로 활성화되는 클립보드 공유 기능을 비활성화하기만 하면 보호되기 때문에 그 문제들을 다루지 않기로 결정했습니다.

l  뉴스보기

 

Severe RCE Flaw Disclosed in Popular LibreOffice and OpenOffice Software(2019-02-05)

 

l  보안 연구원 Alex Inführ는 두 개의 오픈 소스 오피스 제품인 LibreOffice와 OpenOffice Software에서 악의적으로 제작된 ODT(OpenDDoc Text) 파일을 여는 것만으로 심각한 원격 코드 실행(RCE, Remote code execution) 이 발생될 수 있는 취약점을 발견했습니다. 이 공격은 hidden onmouseover 이벤트를 사용하여 소프트웨어에 번들로 추가되어 있는 특정 python 라이브러리를 자동으로 실행하기 위해 directory traversal 결함을 악용합니다. 소프트웨어에

l  Inführ는 어떻게 이벤트를 Python 파일 내 특정 함수를 호출하도록 속일 수 있었는지를 보여주는 PoC(Proof-of-concept) 데모를 제공했고, 결국 사용자에게 경고 대화창도 보이지 않고 Windows 명령 줄을 통해 연구원의 payload를 실행하는 것을 확인했습니다. 또한 취약점에 대한 PoC exploit 코드를 공개하고 마이크로소프트 Windows 운영 체제에서 테스트했지만 리눅스에서도 실행되어야 한다고 강조했습니다.

l  OpenOffice가 보안 수정 사항을 릴리스할 때까지의 해결책으로, 사용자는 설치 폴더에서 pythonscript-x.py 파일을 제거하거나 이름을 변경하여 python에 대한 지원을 비활성화할 수 있습니다. 오픈 소스 오피스 제품을 위해 마이크로소프트 오피스를사용하지 않기보다는 기본적인 보안 방법을 채택하는 게 이러한 공격으로부터 자신을 보호하는 데 많은 도움이 될 것입니다.

l   뉴스보기

 

Android Phones Can Get Hacked Just by Looking at a PNG Image(2019-02-06)

l    Android 폰에서 이미지를 다운받거나 메세지나 이메일 앱을 통해 수신되는 이미지 파일을 열 때 주의 해야합니다. Android 7.0 Nougat부터 Android 9.0 Pie까지 수백만 대의 기기에 영향을 미치는 세 가지 새로 발견 된 치명적인 취약점 때문에 이미지를 보는 것만으로 Android 스마트 폰을 해킹 할 수 있습니다.

l  CVE-2019-1986, CVE-2019-1987 및 CVE-2019-1988로 밝혀진 취약점은 2 월 Android 보안 업데이트의 일환으로 Google이 Android Open Source Project (AOSP)에서 패치했습니다 . Google 엔지니어는 취약점을 설명하는 기술적 세부 사항을 밝히지는 않았지만 "힙 버퍼 오버 플로우 결함", "SkPngCodec의 오류" 및 PNG 이미지를 렌더링하는 일부 구성 요소의 버그를 수정하는 내용이 포함되어 있습니다. 이 권고에 따르면, 세 가지 취약점 중 Google이 가장 심각한 것으로 생각한 취약점은 악의적으로 제작 된 png이미지 파일이 취약한 Android 기기에서 임의의 코드를 실행할 수 있게하는  것입니다.

l  Google은 모바일 운영 체제에서 위의 3가지 결함을 포함하여 총 42 개의 보안 취약점을 패치했으며 이 중 11 개는 심각하다고 판단되지만, 2 월 보안 게시판에 나열된 취약점을 적극적으로 사용하거나 악용하는 사례는 없다고 강조했습니다. Google은 한 달 전에 발표 된 모든 취약점에 대해 "이번 이슈에 대한 소스 코드 패치는 앞으로 48 시간 이내에 Android 오픈 소스 프로젝트 (AOSP) 저장소에 공개 될 것"이라고 Android 파트너에게 전했습니다.

l    뉴스보기

 

Google Created Faster Storage Encryption for All Low-End Devices(2019-02-08)

l   Google은 암호화 방식에 따라 로컬 데이터 저장 시 데이터 암호화에 효과적인 하드웨어가 장착되지 않은 휴대전화와 스마트 IoT 장치에서 실행할 수 있도록 특별히 제작된 새로운 암호화 알고리즘을 발표했습니다.

l  현재 Android OS는 풀디스크 암호화를 위한 AES-128-CBC-ESSIV, 파일 기반 암호화를 위한 AES-256-XTS를 지원하고 있으며 Google은 Android 6.0 이상이 탑재되는 대부분의 기기에 AES 암호화를 포함하도록 단말기 제조사에 의무화하고 있지만, 많은 저가 및 기타 연결 장치는 AES 성능(50 MiB/s 이하) 불량으로 인해 암호화를 사용할 수 없습니다.

l   이 문제를 해결하기 위해 Google은 하드웨어 가속 암호화를 지원하지 않는 기기를 위해 고안된 새로운 형태의 효율적인 스토리지 암호화인 'Adiantum'을 제시했습니다. 'Adiantum'에 사용된 ChaCha 스트림 암호는 하드웨어 가속을 사용할 수 없을 때 AES(Additions, Rotation, XORs)보다 매우 안전하며, 모든 CPU가 기본적으로 지원하는 작동에 전적으로 의존하기 때문에 훨씬 더 빠릅니다.

l   Adiantum을 통해 Google은 스마트 워치에서 인터넷 연결 의료 기기에 이르기까지 모든 것을 성능 저하없이 사용자의 민감한 데이터를 암호화함으로써 이전 세대보다 차세대 휴대 전화 및 스마트 기기를 보다 안전하게 만들 수 있기를 기대합니다.

l  뉴스보기

KISA 보안공지

 

Apple 제품군 보안 업데이트 권고(2019-02-11)

MS 2월 보안 위협에 따른 정기 보안 업데이트 권고(2019-02-13)

기타 동향

 

아마존 포함한 여러 컨테이너 관리 시스템에서 취약점 나타나(2019-02-12)

l  아마존 컨테이너 서비스 다수에서 취약점 발견됨.

l  CVE-2019-5763으로, 루트 레벨 권한 가져갈 수 있게 해주는 것임.

l  공격은 컨테이너 설치부터 시작될 것으로 보임. 컨테이너 보안은 설치자 확인부터 시작해야 함.

l  뉴스보기

 

시스템 깨끗이 청소해주는 아침형 멀웨어 등장(2019-02-12)

l  새로운 리눅스용 암호화폐 채굴 멀웨어 등장.

l  IP 카메라 등으로부터 감염 시작하고, 시스템 내 다른 멀웨어 모두 삭제.

l  리눅스의 크론탭 기능 사용해 매일 새벽 1시에 채굴 시작.

l  뉴스보기

 

어도비 리더의 제로데이 취약점, 0패치 후 공식 패치 나와(2019-02-13)

l  어도비가 미처 패치하지 못한 ‘리더’의 제로데이 취약점, 0패치가 임시로 해결.

l  제로데이 취약점 익스플로잇에 성공하면 사용자의 비밀번호 해시값이 유출됨.

l  어도비는 정기 패치 통해 해당 취약점 등 총 71개 취약점 해결.

l  뉴스보기