스카이프 사용자라면 7.37 버전으로 패치하세요

원격 시스템 크래시 및 코드 실행 가능케 하는 취약점
6월 8일 패치 배포 완료...공격 성공시키기 쉬워 위험

[보안뉴스 문가용 기자] 웹용 스카이프(Skype for Web)에서 원격 코드 실행 및 시스템 셧다운까지 시키게 해주는 치명적인 취약점이 발견됐다. 마이크로소프트는 서둘러 해당 취약점을 패치했으나, 아직 패치를 하지 않은 스카이프 사용자들에게는 여전한 위협거리로 남아있다.

[이미지 = iclickart]

보안 업체인 벌너러빌리티랩(Vulnerability Lab)의 벤자민 쿤즈 메이리(Benjamin Kunz Mejri)는 컨퍼런스 콜 기능을 활용하다가 최초로 해당 취약점을 발견했다고 한다. 7.2 버전, 7.35 버전, 7.36 버전 모두 이 취약점에 노출되어 있다. 취약점 등급을 매기는 CVSS 점수 시스템으로는 7.2점을 받아 꽤나 심각한 수준인 것이 인정되기도 했다.

이 취약점은 CVE-2017-9948로, 스택 버퍼 오버플로우 취약점인 것으로 밝혀졌으며 로컬 및 원격 스카이프 사용자들 모두에게 치명적인 악영향을 발휘할 수 있다고 한다. 공격자들은 활성화되어 있는 소프트웨어 프로세스의 레지스터를 덮어쓰기 요청함으로써 간단히 스카이프를 마비시킬 수 있다. 또한 임의의 악성 코드를 실행시킬 수도 있으며, 스카이프를 통해 다른 시스템에도 영향을 끼칠 수 있다.

또한 이 취약점은 윈도우 8(x86) OS의 다이내믹 링크 라이브러리인 MSFTEDIT.DLL에도 영향을 주며, “스카이프의 ‘클립보드 포맷’ 함수에 있다고” 벌너러빌리티랩 측은 공개했다. 공격자 입장에서는 권한이 낮은 스카이프 계정만 있어도 공격을 성공시킬 수 있다고 했으며, 피해자의 특별한 행동을 유발시킬 필요도 없다고 한다.

마이크로소프트는 “최신 버전으로 패치할 경우 걱정할 게 없는 문제”라고 설명한다. “스카이프 최신 버전 사용자는 자동으로 보호가 됩니다. 그것이 최적의 보안 조치이기도 하니, 사용자들께 패치를 권고하고 있습니다.” 이 취약점은 5월 16일 마이크로소프트 측에 보도됐으며, 6월 8일 패치가 배포됐다.

벌너러빌리티랩은 이번 취약점에 대한 영상도 만들어 배포하고 있다. 여기서 열람이 가능하다.
[국제부 문가용 기자(globoan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)