[12.14 버그리포트] CVE-2015-6406 外

CVE-2015-6406, CVE-2015-6407, CVE-2015-6413
CVE-2015-6414, CVE-2015-6418

[보안뉴스 문가용] 현지 시각으로 12월 13일, 우리나라 시간으로는 대략 13일에서 14일로 넘어오는 밤 사이에 미국의 National Vulnerability Database을 통해 발표된 취약점들이다.

CVE-2015-6406
시스코 Emergency Responder 10.5(1.10000.5)의 툴 메뉴에 있는 디렉토리 접근 공격(Directory Traversal) 취약점은 허가 되지 않은 사용자가 원격에서 조작된 파일이름을 가진 임의의 파일을 작성할 수 있게 해준다. Bug ID CSCuv21781와 같다.

CVE-2015-6407
시스코 Emergency Responder 10.5(3.10000.9) 버전은 공격자들이 원격에서 임의의 위치로 조작된 매개변수를 통해 파일을 업로드 할 수 있게 해준다. Bug ID CSCuv25501과 같다.

CVE-2015-6413
시스코 TelePresence Video Communication Server(VCS) Expressway X8.6은 인증되지 않은 사용자가 원격에서 읽기 전용 제한을 우회해서 Tanberg Linux Package(TLP) 파일들을 업로드할 수 있게 해준다. 이때 관리자 페이지로 접근해 들어간다. Bug ID CSCuw55651과 같다.

CVE-2015-6414
시스코 TelePresence Video Communication Server(VCS) X8.6은 다른 시스템의 다른 사용자들 간 같은 암호키 사용을 허용한다. 로컬 사용자가 암호 메커니즘을 우회하는 게 쉬워진다. Bug ID CSCuw64516과 같다.

CVE-2015-6418
시스코 Small Business RV 라우터 4.x와 SA500 보안 가전기기 2.2.07에 있는 무작위 숫자 생성기(random-number generator)의 취약점으로 엔트로피가 충분치 않아 원격 공격자들이 핸드셰이크 및 데이터 교환과 관련된 불특정 컴퓨테이션을 통해 TLS 키를 알아내는 걸 쉽게 해준다. Bug ID CSCus15224와 같다.
[국제부 문가용 기자(globoan@boannews.com)]

최근 발생한 크라우드 스트라이크의 보안 SW 업데이트 오류 사태처럼 SW 공급망에 보안이슈가 발생할 경우 관련된 각종 시스템 및 IT 인프라 마비가 일어날 수 있다는 게 드러났습니다. 이러한 공급망 보안을 위협하는 가장 큰 요인은 무엇이라고 생각하시나요?
	랜섬웨어, 피싱 등의 사이버 공격
	SW 업데이트 및 SW 교체 과정에서의 오류
	SW 자체에 존재하는 보안 취약점
	시스템 관리자의 운영상 실수 및 관리 미흡
	기타(댓글로)