The Hacker News 발췌분

 

Major Instagram App Bug Could've Given Hackers Remote Access to Your Phone (2020-09-24)

 

l Check Point 연구원은 Instagram의 Android 앱의 치명적인 취약성(CVE-2020-1895)에 대한 세부 정보를 공개했습니다. 이 취약점을 이용하여 원격 공격자가 피해자에게 특수 제작된 이미지를 전송하여 대상 장치를 제어 할 수 있었습니다. 또한 공격자가 Instagram 앱 내에서 사용자를 대신하여 피해자의 개인 메시지를 감시하고 심지어 계정에서 사진을 삭제하거나 게시하는 등의 작업을 수행 할 수 있을 뿐만 아니라 장치에서 임의의 코드를 실행할 수도 있습니다. 이 취약점은 2월 10일에 출시된 128.0.0.26.128 이전의 모든 버전의Instagram 앱에 영향을 미칩니다.

l 이 취약점은 Instagram이 MozJPEG를 통합한 방식에서 기인합니다. 대역폭을 낮추고 서비스에 업로드 된 이미지에 대해 더 나은 압축을 제공하는 것을 목표로 하는 오픈 소스 JPEG 인코더 라이브러리입니다. 이로 인해 취약한 기능이 문제가 될 때 정수 오버플로가 발생합니다. 공격자는 이미지에 할당된 메모리의 크기, 덮어 쓸 데이터의 길이, 그리고 마지막으로 오버플로 된 메모리 영역의 내용을 제어 할 수 있으며, 차례로 공격자가 특정 데이터를 손상시킬 수 있습니다.

l애플리케이션과 모바일 운영 체제를 정기적으로 업데이트하십시오. 권한을 요청하는 애플리케이션에 더 주의를 기울이십시오. 앱 개발자가 사용자에게 과도한 권한을 요청하는 것은 쉽지 않으며 사용자가 두 번 생각하지 않고 '허용'을 클릭하는 것도 매우 쉽습니다. 승인하기 전에 잠시 생각하십시오. 질문 : "이 응용 프로그램에 이런 종류의 액세스 권한을 부여하고 싶습니까? 정말 필요합니까?" 대답이 '아니오'인 경우 승인하지 마십시오.

l 뉴스보기

 

Detecting and Preventing Critical ZeroLogon Windows Server Vulnerability (2020-09-23)

 

l "Zerologon"(CVE-2020-1472)으로 명명되고 Secura의 Tom Tervoort가 발견한 권한 상승 취약성은 Netlogon 세션에 대한 AES-CFB8 암호화의 안전하지 않은 사용으로 인해 존재하여 원격 공격자가 대상 도메인 컨트롤러에 대한 연결을 설정할 수 있습니다.

l 다양한 필드가 0으로 채워진 여러 Netlogon 메시지를 보내면 인증되지 않은 공격자가 AD에 저장된 도메인 컨트롤러의 컴퓨터 암호를 변경할 수 있습니다. 이러한 결함은 클라이언트 자격 증명 스푸핑, RPC 서명 및 봉인 비활성화, 전화 스푸핑, 컴퓨터의 AD 비밀번호 변경, 도메인 관리자 비밀번호 변경 순서로 악용 될 수 있습니다.

lSamba버전 4.7 이하도Zerologon 결함에 취약합니다. Windows 이벤트 ID 4742 '컴퓨터 계정이 변경되었습니다' 혹은, Windows 이벤트 ID 4672 '새 로그온에 할당된 특수 권한'과 관련된 메시지가 있는지 살펴보십시오. 영향을 받는 도메인 컨트롤러를 업데이트 할 수 없는 경우 네트워크에서 제거했는지 확인하십시오. 가능한 한 빨리 Microsoft의 최신 소프트웨어 업데이트를 설치하십시오.

l 뉴스보기

 

Android 11 — 5 New Security and Privacy Features You Need to Know (2020-09-18)

 

l 지난주 Google은 데이터 보안 및 개인 정보 보호를 더 잘 제어 할 수 있는 기능을 제공하는 Android 모바일 운영체제의 최신버전인 Android 11을 출시했습니다.

l Google의 최신 발표에 따르면 최신 Android 11 OS에는 기본적으로 사용자의 데이터를 안전하게 유지하고 투명성을 높이며 더 나은 제어 기능을 제공하도록 설계된 몇 가지 새로운 기본 제공 조치가 포함되어 있습니다.

• 일회성 권한 : '일회성 권한' 기능을 통해 사용자는 위치, 마이크, 카메라와 같은 기기의 가장 민감한 권한에 대한 앱의 일회용 액세스 권한을 앱에 부여 할 수 있습니다.

• 사용하지 않는 앱에 대한 권한 자동 재설정 : 새로 출시된 기능으로 설치된 앱과 몇 달 동안 상호 작용하지 않았거나 필요한 권한을 다운로드하고 부여한 후 완전히 잊어 버린 경우를 위해 모바일 운영 체제가 사용자가 몇 달 동안 사용하지 않은 앱에 대한 민감한 런타임 권한을 자동으로 재설정 할 수 있도록 합니다.

• Play 스토어 모듈을 통한 빠른 보안 패치 : 이 회사는Android 11을 통해 Google Play 스토어 앱의 기기 통합을 강화하여 Google 서버에서 앱과 마찬가지로 중요한 OS 보안 패치를 모듈로 즉시 다운로드하고 설치할 수 있습니다.

• 데이터 보호를 위한 범위 지정 스토리지 시행 : 범위 지정 스토리지는 동일한 장치에 설치된 다른 앱이 다른 앱에서 저장한 데이터에 직접 액세스 할 수 없도록 각 앱에 장치의 격리된 저장소 영역을 제공합니다.

• 불필요한 백그라운드 위치 접근 제한 : 앱이 위치에 대한 액세스 권한을 요청하면 Android 11은 먼저 포 그라운드 위치만 허용하고 백그라운드에서도 위치에 대한 액세스가 필요한 경우 앱에서 별도의 권한 요청을 해야 합니다. 또한 Android 앱 개발자에게 처음부터 앱에 백그라운드 위치 액세스가 필요한 이유를 설명하도록 요구합니다.

l 뉴스보기

 

 

KISA보안공지

Mozilla 취약점 보안 업데이트 권고 (2020-09-23)

Samba 취약점 보안 업데이트 권고 (2020-09-22)

MS 윈도우 서버 Netlogon 취약점 보안 업데이트 권고 (2020-09-21)

 

 

기타 동향

 

기업들, 크나 작으나 매달 패치하는 취약점은 전체의 10% 수준 (2020-09-23)

l 취약점 관리, 큰 기업이나 작은 기업이나 10% 해결에서 만족하는 수준.

l 비슷한 기계와 앱 많이 사용할수록, 네트워크 가시성 높을수록 패치 관리 효과 높아짐.

l 취약점 패치가 불가능하다면 완화법이라도 마련하는 게 상책.

l 뉴스보기

 

구글 클라우드의 6%가 설정 오류로 민감한 정보 노출시켜 (2020-09-23)

l 구글 클라우드 버킷 6%에서 설정 오류 발견됨.

l 각종 민감 정보와 개인 식별 정보가 가득 저장되어 있었던 상황.

l 코로나 시대에 클라우드 설정 오류는 더 치명적으로 작용할 것.

l 뉴스보기

 

랜섬웨어 사망 사건, 독일 병원에서 터져 (2020-09-18)

l 한 해커, 독일 대학교 공격하려다 대학병원 마비시킴.

l 대학병원에서 환자를 처리 못해 이송시키는 과정에서 환자 사망.

l 경찰은 현재 범인 추적 중. 병원에도 과실 있다고 판결 나올까?

l 뉴스보기