[5.26 버그리포트] CVE-2015-8853 外

CVE-2015-8853, CVE-2016-1886, CVE-2016-1887
CVE-2016-4020, CVE-2016-4575

[보안뉴스 문가용] 현지 시각으로 5월 25일, 우리나라 시간으로는 대략 25일에서 26일로 넘어오는 밤 사이에 미국의 National Vulnerability Database을 통해 발표된 취약점들이다.

1. CVE-2015-8853
Perl 5.24.0 이전 버전의 regexec.c의 (1) S_reghop3, (2) S_reghop4, (3) S_reghopmaybe3 함수에 있는 취약점으로 공격자가 조작된 utf-8 데이터를 통해 DoS 공격을 할 수 있게 해준다.

2. CVE-2016-1886
FreeBSD p42 이전의 9.3 버전, p34 이전의 10.1 버전, p17 이전의 10.2 버전, p3 이전의 10.3 버전에 있는 sys/dev/kbd/kbd.c의 genkbd_commonioctl 함수에 있는 정수 서명 오류로 로컬의 사용자가 민감한 정보를 커널 메모리로부터 취득하거나 DoS 공격을 하거나, 권한을 상승시킬 수 있게 해준다.

3. CVE-2016-1887
FreeBSD p42 이전의 9.3 버전, p34 이전의 10.1 버전, p17 이전의 10.2 버전, p3 이전의 10.3 버전에 있는 sys/dev/kbd/kbd.c의 genkbd_commonioctl 함수에 있는 정수 서명 오류로 로컬의 사용자가 DoS 공격을 하거나 권한을 상승시킬 수 있도록 해준다.

4. CVE-2016-4020
QEMU의 hw/i386/kvmvapic.c의 patch_instruction 함수에 있는 취약점으로 imm32 변수를 시작하지 않는다. 이로써 로컬의 게스트 OS 관리자가 호스트의 스택 메모리로부터 민감한 정보를 취득할 수 있게 된다.

5. CVE-2016-4575
AL10C00B211 이전의 AL10C00 버전, AL10C92B211 이전의 AL10C92 버전, AL00C00B361 이전의 AL00C00 버전, CL00C92B361 이전의 CL00C92 버전, TL00HC01B361 이전의 TL00HC01 버전, UL00C00B361 이전의 UL00C00 버전 소프트웨어가 설치된 Huawei PLK 스마트폰의 이메일 APP에 있는 XSS 취약점으로 원격의 공격자가 임의의 웹 스크립트나 HTML을 주입할 수 있게 된다.
[국제부 문가용 기자(globoan@boannews.com)]

- 국내 최대 규모의 개인정보보호 컨퍼런스 PIS FAIR 2016 - 6월 9일(목)~10일(금) 개최
- 공공·금융·민간 CPO, 개인정보처리자, 보안담당자 등 4,000여명 참석
- 공무원상시학습, CPPG, CISSP, CISA, ISMS등 관련 교육이수(최대 16시간) 인정
- CPO, 개인정보처리자, 보안담당자 등 사전 무료 참관등록(www.pisfair.org/2016/)

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)