4월의 두 번째 화요일이다. 여러 기업들에서 패치를 발표했다. MS는 97개의 취약점을 고쳤다. 그 중 최소 몇 가지는 시급히 적용해야 한다고 한다. 제로데이는 2개가 나왔는데 이미 공격자들이 익스플로잇 하고 있다.
[보안뉴스 문가용 기자] MS가 2023년 4월 패치 튜즈데이를 진행했다. 97개의 CVE들이 보안 권고문에서 다뤄졌고, 이 중에는 2개의 제로데이 취약점이 포함되어 있었다. 한 개의 제로데이 취약점은 이미 랜섬웨어 공격에서 익스플로잇 되고 있었고, 다른 한 개는 2013년에 나온 취약점 패치와 관련이 있다. 이 두 번째 취약점은 최근 발생한 3CX 공급망 공격 취약점과도 관계가 있다. 97개 취약점 중 MS가 ‘초고위험도’로 분류한 취약점은 총 7개다.
랜섬웨어 공격에 활용된 제로데이
이번 달에 패치된 취약점들 중 45개는 원격 코드 실행 공격을 가능하게 하는 것으로 분류됐다. 지난 1~3월 동안 발행된 정기 패치 중 원격 코드 실행 공격을 가능하게 하는 취약점은 평균 33개였다. 꽤나 급증한 거라고 볼 수 있다. 하지만 MS는 이번에 발표된 취약점 중 90% 가까이를 “실제 익스플로잇 가능성이 낮다”고 보고 있다. 가능성이 높은 취약점은 9%에 그쳤다고 한다.
이번 달 패치된 제로데이 취약점은 다음과 같다.
1) CVE-2023-28252 : CLFS라는 요소에서 발견되었고, 권한 상승을 일으키는 것으로 분석됐다.
2) CVE-2022-37969 : 사용자 시스템에 접근하는 데 이미 성공한 공격자들이 권한을 상승시킬 수 있게 해 주는 취약점이다.
보안 업체 오토목스(Automox)의 보안 연구원 지나 지젤(Gina Geisel)은 “첫 번째 제로데이 취약점의 경우 메모리 내 객체들과 CLFS 드라이버가 상호작용하는 방식에 대한 결과로써 발현된다”고 설명한다. 익스플로잇을 하려면 먼저 피해자의 시스템에 공격자가 로그인 하고 있어야 한다. “저희 오토목스는 고객들에게 24시간 안에 이 취약점은 꼭 패치하라고 권고하고 있습니다. 이미 공격이 시작됐기 때문입니다.”
보안 업체 카스퍼스키(Kaspersky)도 CVE-2023-28252 취약점이 이미 익스플로잇 되고 있다고 경고한다. “저희 쪽에서는 노코야와(Nokoyawa)라는 랜섬웨어가 이 취약점을 통해 유포되고 있는 것을 발견했습니다. 피해자들은 주로 북미, 중동, 아시아 지역의 중소기업들이었습니다.” 카스퍼스키는 이러한 사실을 지난 2월 MS에 제보했었다.
과거를 패치하다
두 번째 제로데이는 10년 된 윈도 취약점인 CVE-2013-3900과 관련이 깊다. 이 취약점의 경우 북한의 라자루스(Lazarus)로 추정되는 해킹 집단이 최근 익스플로잇 하기 시작했다는 경고가 보안 업계에서 나오고 있다. 그 공격이 바로 3CX 공급망 공격이다.
MS는 이 취약점의 패치를 2013년에 개발해 발표했었다. 다만 모든 윈도 시스템에 전부 적용되는 게 아니라 사용자가 별도로 선택해 패치를 하는 옵트인 방식으로 배포됐었다. 일부 사용자 환경에서 패치가 오히려 문제가 될 가능성이 있었기 때문이다. 하지만 이번 4월 정기 패치를 통해 MS는 보다 강력한 방식으로 패치가 적용되도록 했으며, 그러므로 더 많은 윈도 사용자들에게 혜택이 가도록 했다.
지나치게 많은 원격 코드 실행 취약점
두 개의 제로데이 취약점 외에도 긴급히 패치해야 할 취약점들이 지적됐다. 그 중 하나는 CVE-2023-21554이다. MSMQ라는 기술에서 발견된 취약점으로, 익스플로잇에 성공한 공격자는 특수하게 조작된 MSMQ 패킷을 MSMQ 서버에 전송함으로써 원격 코드 실행 공격을 성공시킬 수 있다고 한다. 윈도 10, 11, 윈도 서버 2008~2022까지 전부 영향을 준다. 보안 업체 오토목스의 피터 플라스터(Peter Pflaster)는 “이 취약점은 공격자들이 실제 익스플로잇 해봄직한 것으로, 공격 가능성이 매우 높아 보여 시급한 패치 적용이 필요하다”고 경고했다.
그 다음으로 주목해야 할 건 CVE-2023-28250이다. 방금 언급된 CVE-2023-21554처럼 CVSS 기준 9.8점을 받았으며, 워머블(wormable) 특성을 가지고 있다. 즉 공격을 증폭시킬 수 있는 취약점이라는 뜻이다. 피해자가 받는 영향이 제법 클 것으로 분석된다. 보안 업체 퀄리스(Qualys)의 취약점 연구 책임자 바랏 조기(Bharat Jogi)는 “워머블 특성이 있는 취약점은 패치 우선순위에서 상당히 앞에 와야 한다”고 강조한다.
시급히 패치해야 할 세 번째 취약점은 CVE-2023-28231이다. DHCP 서버에서 발견됐으며 원격 코드 실행을 가능하게 한다. MS도 이 취약점은 익스플로잇 가능성이 높은 것으로 분류했다. 다만 이 취약점을 익스플로잇 하려면 피해자의 시스템에 다른 방법으로 접속해 있어야 한다. 익스플로잇에 성공하면 DHCP 서버에서 원격 코드 실행 공격을 할 수 있고, 따라서 피해가 커질 수 있다고 한다.
3줄 요약
1. MS의 4월 패치 튜즈데이가 바로 오늘.
2. 제로데이 2개와 초고위험도 취약점 3개 정도는 시급히 패치해야 함.
3. 이번 달 패치된 취약점은 총 97개로 많은 편.
[국제부 문가용 기자(globoan@boannews.com)]
[보안뉴스 문가용 기자] MS가 2023년 4월 패치 튜즈데이를 진행했다. 97개의 CVE들이 보안 권고문에서 다뤄졌고, 이 중에는 2개의 제로데이 취약점이 포함되어 있었다. 한 개의 제로데이 취약점은 이미 랜섬웨어 공격에서 익스플로잇 되고 있었고, 다른 한 개는 2013년에 나온 취약점 패치와 관련이 있다. 이 두 번째 취약점은 최근 발생한 3CX 공급망 공격 취약점과도 관계가 있다. 97개 취약점 중 MS가 ‘초고위험도’로 분류한 취약점은 총 7개다.
[이미지 = utoimage]
랜섬웨어 공격에 활용된 제로데이
이번 달에 패치된 취약점들 중 45개는 원격 코드 실행 공격을 가능하게 하는 것으로 분류됐다. 지난 1~3월 동안 발행된 정기 패치 중 원격 코드 실행 공격을 가능하게 하는 취약점은 평균 33개였다. 꽤나 급증한 거라고 볼 수 있다. 하지만 MS는 이번에 발표된 취약점 중 90% 가까이를 “실제 익스플로잇 가능성이 낮다”고 보고 있다. 가능성이 높은 취약점은 9%에 그쳤다고 한다.
이번 달 패치된 제로데이 취약점은 다음과 같다.
1) CVE-2023-28252 : CLFS라는 요소에서 발견되었고, 권한 상승을 일으키는 것으로 분석됐다.
2) CVE-2022-37969 : 사용자 시스템에 접근하는 데 이미 성공한 공격자들이 권한을 상승시킬 수 있게 해 주는 취약점이다.
보안 업체 오토목스(Automox)의 보안 연구원 지나 지젤(Gina Geisel)은 “첫 번째 제로데이 취약점의 경우 메모리 내 객체들과 CLFS 드라이버가 상호작용하는 방식에 대한 결과로써 발현된다”고 설명한다. 익스플로잇을 하려면 먼저 피해자의 시스템에 공격자가 로그인 하고 있어야 한다. “저희 오토목스는 고객들에게 24시간 안에 이 취약점은 꼭 패치하라고 권고하고 있습니다. 이미 공격이 시작됐기 때문입니다.”
보안 업체 카스퍼스키(Kaspersky)도 CVE-2023-28252 취약점이 이미 익스플로잇 되고 있다고 경고한다. “저희 쪽에서는 노코야와(Nokoyawa)라는 랜섬웨어가 이 취약점을 통해 유포되고 있는 것을 발견했습니다. 피해자들은 주로 북미, 중동, 아시아 지역의 중소기업들이었습니다.” 카스퍼스키는 이러한 사실을 지난 2월 MS에 제보했었다.
과거를 패치하다
두 번째 제로데이는 10년 된 윈도 취약점인 CVE-2013-3900과 관련이 깊다. 이 취약점의 경우 북한의 라자루스(Lazarus)로 추정되는 해킹 집단이 최근 익스플로잇 하기 시작했다는 경고가 보안 업계에서 나오고 있다. 그 공격이 바로 3CX 공급망 공격이다.
MS는 이 취약점의 패치를 2013년에 개발해 발표했었다. 다만 모든 윈도 시스템에 전부 적용되는 게 아니라 사용자가 별도로 선택해 패치를 하는 옵트인 방식으로 배포됐었다. 일부 사용자 환경에서 패치가 오히려 문제가 될 가능성이 있었기 때문이다. 하지만 이번 4월 정기 패치를 통해 MS는 보다 강력한 방식으로 패치가 적용되도록 했으며, 그러므로 더 많은 윈도 사용자들에게 혜택이 가도록 했다.
지나치게 많은 원격 코드 실행 취약점
두 개의 제로데이 취약점 외에도 긴급히 패치해야 할 취약점들이 지적됐다. 그 중 하나는 CVE-2023-21554이다. MSMQ라는 기술에서 발견된 취약점으로, 익스플로잇에 성공한 공격자는 특수하게 조작된 MSMQ 패킷을 MSMQ 서버에 전송함으로써 원격 코드 실행 공격을 성공시킬 수 있다고 한다. 윈도 10, 11, 윈도 서버 2008~2022까지 전부 영향을 준다. 보안 업체 오토목스의 피터 플라스터(Peter Pflaster)는 “이 취약점은 공격자들이 실제 익스플로잇 해봄직한 것으로, 공격 가능성이 매우 높아 보여 시급한 패치 적용이 필요하다”고 경고했다.
그 다음으로 주목해야 할 건 CVE-2023-28250이다. 방금 언급된 CVE-2023-21554처럼 CVSS 기준 9.8점을 받았으며, 워머블(wormable) 특성을 가지고 있다. 즉 공격을 증폭시킬 수 있는 취약점이라는 뜻이다. 피해자가 받는 영향이 제법 클 것으로 분석된다. 보안 업체 퀄리스(Qualys)의 취약점 연구 책임자 바랏 조기(Bharat Jogi)는 “워머블 특성이 있는 취약점은 패치 우선순위에서 상당히 앞에 와야 한다”고 강조한다.
시급히 패치해야 할 세 번째 취약점은 CVE-2023-28231이다. DHCP 서버에서 발견됐으며 원격 코드 실행을 가능하게 한다. MS도 이 취약점은 익스플로잇 가능성이 높은 것으로 분류했다. 다만 이 취약점을 익스플로잇 하려면 피해자의 시스템에 다른 방법으로 접속해 있어야 한다. 익스플로잇에 성공하면 DHCP 서버에서 원격 코드 실행 공격을 할 수 있고, 따라서 피해가 커질 수 있다고 한다.
3줄 요약
1. MS의 4월 패치 튜즈데이가 바로 오늘.
2. 제로데이 2개와 초고위험도 취약점 3개 정도는 시급히 패치해야 함.
3. 이번 달 패치된 취약점은 총 97개로 많은 편.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-05] 
