中 “3월 첫째 주 사건형 보안취약점 182% 급증”

보안취약점 102개 등록...고위험 30개, 중위험 67개, 제로데이 취약점 14개
50개 회사 SW·웹사이트에 취약점 존재

[보안뉴스 온기홍= 중국 베이징] 중국 정부 산하 ‘국가컴퓨터네트워크 응급기술처리 협조센터(CNCERT, 이하 국가인터넷응급센터)는 2월 29일~3월 6일 자국에서 정보보안 취약점 102개를 최종 등록했다고 8일 발표했다.

국가인터넷응급센터는 이 기간 국가정보보안취약점공유플랫폼(이하 CNVD)을 통해 보안업체들이 중심이 된 7개 회원사들과 협력사, 개인(화이트 해커) 등으로부터 102개 취약점 보고를 접수했다. 이는 한 주 전에 비해 58개 줄어든 수치다.

특히 지난 주 당∙정부 기관, 기업들과 관련된 사건형 보안 취약점 수량은 총 1,945개에 달해 한 주 전(690개)에 견줘 182% 급증했다고 센터는 밝혔다. 센터는 이들 취약점들을 분석∙평가해 최종적으로 102개를 뽑아 공식 등록했다. 이들 가운데 ‘고위험’급 취약점은 30개로 한 주 전보다 7개 줄었고, ‘중위험’ 취약점은 67개로 48개 감소했다. ‘저위험’ 취약점은 5개였다.

전체 취약점 가운데 제로 데이(0day) 관련 취약점은 14개로 전체의 14%를 차지했다고 센터는 밝혔다. 지난 한 주 정보보안 취약점 위협에 대한 전체적인 평가 등급은 ‘중간’이라고 센터는 덧붙였다.

이 가운데 인터넷 상에 출현한 ‘Manage Engine Firewall Analyzer ‘runQuery.do’ SQL주입 취약점’, ‘Project Send취약점 존재’ 등 제로 데이 취약점과 관련, 유관 제품을 쓰는 사람들은 보안을 강화하라고 센터는 강조했다.

50개 회사 S/W 제품 또는 웹사이트 시스템에 보안취약점 존재
국가인터넷응급센터는 2월 29일~3월 6일 통신서비스업체에 보안 취약점 사건 59건을 통보했다고 밝혔다. 또한 은행, 증권, 보험, 에너지 등 중요 분야 기업∙기관에 통보한 취약점 사건은 41건이었다. 이어 센터는 전국 각 지역의 센터와 협력해, 지방 중요 기관과 관련된 보안 취약점 사건 548건을 검증하고 처리했다고 덧붙였다.

센터는 또 중국 교육 및 과학연구 컴퓨터망인 CERNET의 운영과 관리를 맡고 있는 사이얼네트워크회사 및 상하이교통대학 네트워크정보센터 등 교육 분야 기관들과 협력해 고등교육 기관 및 연구소 시스템의 보안 취약점 사건 104건을 검증·처리했다. 아울러 국가급 정보보안 협조기관에 각 정부 부처 및 위원회의 홈페이지와 부설 웹사이트 또는 직속 기관의 정보시스템 내 취약점 사건 35건을 보고했다.

▲ 2월 29일~3월 6일 중국 내 정보보안 취약점의 영향 대상에 따른 유형 통계(출처: 중국 국가인터넷응급센터)

이밖에 센터는 중국철도건설주식회사, 중난그룹, 허난톈공건설그룹, 중국동방항공그룹, 중국중위앤국제공정, HP(중국 법인), 보어하이국제신탁, 진샨S/W(kingsoft), 베이징용여우정무S/W, 구글(중국 법인), 중국항공기술국제(AVIC 인터내셔널), 더리시(Delixi) 그룹, 써우거우(Sogou), 알리바바그룹 보안응급대응센터, 중국국제경제무역중재위원회, 중국부동산평가인·중개상학회, 바이다영재 사이트, 중국공업제어 사이트, 인민교사 사이트, 국가뎬란(전선) 사이트, 중국교수연수 사이트, 중국공급수요 사이트, 전국물류정보 사이트, 중국응급통신 사이트, 잉촹인재 사이트, 전국아동복리 사이트 등 50개 회사와 기관의 정보 시스템 또는 S/W 제품에서 보안 취약점을 발견해 해당 기업과 기관에 통보했다고 밝혔다.

▲ 2월 29일~3월 6일 중국 내 주요 고위험의 정보보안 취약점(출처: 중국 국가인터넷응급센터)

정보보안 취약점이 영향을 끼친 대상에 따른 유형
국가인터넷응급센터가 공식 등록한 102개의 취약점들을 영향 대상에 따라 나눠 보면, ‘애플리케이션 프로그램 취약점’이 75개(전체의 73% 차지)로 가장 많았다.
이어 웹(Web) 애플리케이션 취약점은 13개(13%), 운영체제 취약점 7개(7%), 네트워크 설비 취약점이 7개(7%)를 각각 기록했다.

통신 분야 정보보안취약점 15개·공업제어 분야 3개
전체 정보보안 취약점을 분야 별로 보면, 통신 분야 관련 취약점은 15개로 나타났다. 공업제어 분야 취약점은 3개였다. 통신 분야 취약점 가운데, 고위험은 3개, 중위험 12개였고, 이 중 8일 현재 13개 취약점에 대해 보안 패치가 나왔다.

▲ 2월 29일~3월 6일 보안 취약점이 존재한 일부 제품 관련 업체 분포 통계(출처: 중국 국가인터넷응급센터)

이 가운데 △Cisco Nexus9000 Application Centric Infrastructure Mode서비스 거부 취약점 △Cisco Application Policy Infrastructure Controller및 Nexus 9000 ACI Mode Switches보안 우회 취약점’은 고위험으로 평가됐다. 관련 업체들은 이들 취약점에 대한 패치 프로그램을 발표했다. 한편, 국가인터넷응급센터가 업체∙제품 별로 나눈 취약점 수량과 비중을 보면, Wireshark, IBM, Cisco 순으로 많았다.
[중국 베이징 / 온기홍 특파원(onkihong@yahoo.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)