中 당국, 국경절 연휴 제로데이 취약점 65개 확인

9월 26일~10월 9일 ‘애플리케이션 프로그램 취약점’ 52%로 가장 많아

[보안뉴스 온기홍= 중국 베이징] 중국 정부 산하 ‘국가컴퓨터네트워크 응급기술처리 협조센터(CNCERT, 이하 인터넷응급센터)는 국경절 공식 연휴(10월 1일~7일) 기간이 포함된 9월 26일~10월 9일 사이 정보보안 취약점 391개를 최종 확인했다고 밝혔다.

▲ 9월 26일~10월 9일 중국 내 정보보안 취약점의 영향 대상에 따른 유형 통계

인터넷응급센터는 9월 마지막 주와 10월 첫째 주에 국가정보보안취약점공유플랫폼(이하 CNVD)을 통해 중국 내 11개 협력회사(보안업체 중심)와 개인으로부터 신고 받은 사건형 취약점들을 평가해 보안취약점 391개를 최종 등록했다고 덧붙였다.

전체 보안취약점 가운데 ‘고위험’급 취약점이 181개, ‘중위험’ 취약점 192개, ‘저위험’ 취약점은 18개로 확인됐다. 제로데이(0-day) 관련 취약점은 65개로 전체의 17%를 차지했다.

인터넷응급센터는 이 기간 CNVD를 통해 당·정부 기관 및 기업들과 관련된 사건형 보안 취약점 1,517개에 대한 보고를 접수했다고 밝혔다. 이는 한 주 전(892개)에 비해 41% 급증한 규모. 센터는 이 기간 중국 내 정보보안 취약점 위협 수준은 ‘높음’이라고 평가했다.

이런 가운데 인터넷에서는 ‘Joomla! Pay Plans Extension ‘index.php’ SQL주입 취약점’, ‘Open JPEG 원격코드 실행 취약점’ 등 제로데이 코드 공격 취약점이 나타났으며, ‘Tomcat 로컬 권한 상승 취약점’이 출현할 수 있으므로 관련 제품 사용자들은 보안을 강화하라고 센터는 덧붙였다.

인터넷응급센터 “2주간 25개 회사 SW·웹사이트 시스템에 보안취약점 존재”
인터넷응급센터는 9월 마지막 주와 10월 첫째 주에 중국 유∙무선 통신 서비스업체에 정보보안 취약점 사건 14건을 통보했다고 밝혔다. 센터가 은행, 증권, 보험, 에너지 등 중요 분야 기업∙기관에 통보한 보안 취약점 관련 사건은 22건이었다.

센터는 또 전국 각 지역의 CNCERT 센터와 협력해 지방 중요 기관과 관련된 보안 취약점 사건 394건을 검증해 처리했다고 덧붙였다. 센터는 국가 상급 정보보안 협조 기관에 각 정부 부처 및 위원회의 홈페이지와 부설 웹사이트 또는 직속 기관의 정보시스템 내 취약점 사건 8건을 보고했다.

아울러 센터는 청두스쉰뎬커정보기술, 광저우쿠뤼여행사, 베이징왕위싱윈정보기술, 화핑정보기술, 창샤미퉈정보기술, 상하이차이다과기발전, 항저우슌왕과기, 광저우홍톈SW, 안휘홍쉰정보과기, 중국선박공업업계협회, 진샨네트워크연맹, 국가직업자격고시 사이트 등 25개에 회사와 기관의 정보 시스템 또는 SW·HW 제품에서 보안 취약점을 발견해 해당 기업과 기관에 통보했다고 밝혔다.

中 9월 마지막 주와 10월 첫째 주 ‘애플리케이션 프로그램 취약점’ 52%로 가장 많아

▲ 해당 기간내 보안 취약점이 존재한 일부 제품 관련 업체 분포 통계

인터넷응급센터가 이 기간 공식 등록한 전체 391개의 보안 취약점들을 영향 대상에 따라 살펴보면, 애플리케이션 프로그램 취약점이 204개로 가장 많았다. 전체의 52%를 차지했다. 이어 웹(Web) 애플리케이션 취약점은 84개(21% 차지), 운영체제 취약점 66개(17%), 네트워크 장비 취약점 24개(6%), 보안 제품 취약점은 10개(3%), 데이터베이스 취약점 3개(1%)를 각각 기록했다.

이 기간 전체 정보보안 취약점을 분야 별로 나눠 보면, 모바일 인터넷 분야 취약점(http://mi.cnvd.org.cn/)은 45개(고위험 26개, 중위험 18개, 저위험 1개)로 가장 많았다. 통신 분야 취약점((http://telecom.cnvd.org.cn/)이 21개(고위험 11개, 중위험 8개, 저위험 2개), 공업제어 분야 취약점(http://ics.cnvd.org.cn/)은 2개(고위험 2개)였다.

이 가운데 ‘Applei OS/Safari/tvOS Web Kit메모리 파괴 취약점(CNVD-2016-08298, CNVD-2016-08299, CNVD-2016-08300, CNVD-2016-08301), Cisco IOS and IOS XE Software서비스 거부 취약점(CNVD-2016-08388, CNVD-2016-08389, CNVD-2016-08394, CNVD-2016-08395, CNVD-2016-08397), HP Network Automation Java Deserialization 원격 코드 실행 취약점’은 ‘고위험’ 수준으로 평가됐다고 센터는 밝혔다.

한편, 인터넷응급센터가 업체∙제품 별로 나눈 취약점 수량과 비중을 보면, Apple, IBM, Cisco, Image Magick, Mozilla, Huawei, WordPress, OpenSSL, Joomla! 순으로 많았다.
[중국 베이징 / 온기홍 특파원(onkihong@yahoo.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)