HP, MS의 IE 취약점 발견 → 포상금 → 공표

받은 버그바운티 전액 기부하고 취약점 발표하기로 결정

윈도우 7 및 8.1 버전도 취약점 해당 범주에 속해 있어

[보안뉴스 주소형] HP가 마이크로소프트 웹 브라우저인 인터넷 익스플로러에서 발견된 취약점을 발표했다. 그것도 매우 자세하게 해당 취약점을 증명하고 나섰다. HP에 따르면 이 취약점은 유명 브라우저에서 방어를 위해 사용하고 있는 ASLR(Address Space Layout Randomization)을 우회할 수 있다. 또한 초반에 32비트 시스템에만 해당되는 줄 알았던 이 취약점이 알고보니 64비트 시스템에까지도 영향을 미치고 있다고 설명했다. 여기에는 윈도우 7 및 8.1 버전도 취약점의 해당 범주에 포함된다고 덧붙였다.

사실 이 같은 HP의 취약점 발표에는 속사정이 있다. 지난 2월, HP는 해당 취약점을 MS에 알리고 12만5,000달러를 버그바운티로 받았다. 하지만 120일이 지난 현재, MS는 이를 여전히 패치하지 않았고, 향후 패치 계획을 묻는 HP측에 “기술적으로 문제가 없다(technically correct)”며 향후에도 패치할 계획이 없다는 의사를 전달해온 것. 이에 HP는 공식 페이지를 통해 취약점 발표 배경과 취약점 증명 보고서를 첨부하여 발표했다. 해당 발표는 여기를 누르면 연결된다.

한편 HP는 MS측으로부터 연초에 받은 12만5,000달러의 상금을 STEM(과학·기술·공학·수학) 분야에 교육을 위해 전액 기부했다고 밝혔다.

[국제부 주소형 기자(sochu@boannews.com)]

최근 발생한 크라우드 스트라이크의 보안 SW 업데이트 오류 사태처럼 SW 공급망에 보안이슈가 발생할 경우 관련된 각종 시스템 및 IT 인프라 마비가 일어날 수 있다는 게 드러났습니다. 이러한 공급망 보안을 위협하는 가장 큰 요인은 무엇이라고 생각하시나요?
	랜섬웨어, 피싱 등의 사이버 공격
	SW 업데이트 및 SW 교체 과정에서의 오류
	SW 자체에 존재하는 보안 취약점
	시스템 관리자의 운영상 실수 및 관리 미흡
	기타(댓글로)