.jpg)
인터넷응급센터, “애플리케이션 부문 취약점 가장 많아”
[보안뉴스 온기홍=중국 베이징] 중국 ‘국가컴퓨터네트워크 응급기술처리 협조센터(CNCERT, 이하 인터넷응급센터)는 3월 국가정보보안취약점공유플랫폼(이하 CNVD)을 통해 협력업체(보안업체, 통신서비스업체, 통신기기장비업체)와 CNCERT지역 센터, 개인(화이트 해커)로부터 접수한 사건형 정보보안 취약점들을 평가해, 2,100여개를 확인·등록했다고 밝혔다.
센터는 지난 3월 마지막 주(3월 26일~4월 1일)에 정보보안 취약점 452개를 최종 등록했고, 3월 넷째 주(19일~25일)에 487개, 셋째 주(12일~18일) 460개, 둘째 주(5일~11일) 386개, 첫째 주(2월 26일~3월 4일)에 397개의 취약점을 각각 확인해 최종 등록했다고 덧붙였다.
정보보안 취약점을 위험 수준 등급별로 나눠 보면, 3월 마지막 주에는 전체 보안취약점 452개 가운데 ‘고위험’급 취약점이 134개, ‘중위험’급 276개, ‘저위험’급 42개로 평가됐다. 제로데이(0day) 관련 취약점은 92개로 전체의 20%를 차지했다. 3월 넷째 주(전체 보안 취약점 487개)에는 고위험급이 173개, 중위험급 282개, 저위험급 32개였다. 제로데이 취약점은 105개로 전체의 22%를 점유했다.
셋째 주(취약점 460개)의 경우 고위험급은 130개, 중위험 292개, 저위험 38개였다. 제로데이 취약점은 68개(전체의 15%)였다. 둘째 주(취약점 386개)에는 고위험급 취약점 124개, 중위험급 228개, 저위험급이 34개로 확인됐다. 제로데이 취약점은 132개(전체의 34%)에 달했다. 첫째 주(취약점 397개)에는 고위험급 144개, 중위험급 219개, 저위험급이 34개였다. 제로데이 취약점은 62개(전체의 16%) 였다.
인터넷응급센터는 3월 첫째 주부터 마지막 주까지 정보보안 취약점 위협 수준은 모두 ‘중간’으로 평가됐다고 밝혔다.
中 3월 정부기관 ·통신·금융·에너지·교육 부문 정보시스템 내 보안취약점 현황
인터넷응급센터가 CNVD를 통해 접수한 당·정부 기관 및 기업들과 관련된 사건형 보안 취약점을 보면, 3월 마지막 주에 391개(주간 11% 감소), 넷째 주 438개(주간 30% 감소), 셋째 주 622개(주간 3% 감소), 둘째 주 641개(주간 8% 감소), 첫째 주 679개였다.
센터가 중국 3개 유·무선 통신 서비스업체들에 통보한 정보보안 취약점 관련 사건은 3월 마지막 주 6건, 넷째 주 5건, 셋째 주 10건, 둘째 주 12건, 첫째 주 5건으로 집계됐다. 이어 센터가 은행, 증권, 보험, 에너지 등 중요 분야 기관·기업에 알린 보안 취약점 사건은 3월 마지막 주 12건, 넷째 주 12건, 셋째 주 25건, 둘째 주 27건, 첫째 주 12건이었다.
센터가 전국 각 지역의 CNCERT 센터와 협력해 검증·처리한 지방 중요 기관과 관련된 보안 취약점 사건은 3월 마지막 주 199건, 넷째 주 295건, 셋째 주 283건, 둘째 주 292건, 첫째 주 341건이었다. 센터가 고등교육 분야 응급조직과 협조해 검증·처리한 대학·연구원 시스템 취약점 사건은 3월 마지막 주 41건, 넷째 주 34건, 셋째 주 61건, 둘째 주 70건, 첫째 주 45건에 달했다.
또한 센터가 국가 상급 정보보안 협조 기관에 보고한 각 정부 부처 및 위원회의 홈페이지와 부설 웹사이트 또는 직속 기관의 정보시스템 내 취약점 사건은 3월 마지막 주 18건, 넷째 주 15건, 셋째 주 28건, 둘째 주 56건, 첫째 주 27건이었다.
中 3월 정보시스템·S/W·H/W내 보안 취약점 탐지된 기업·기관 현황
인터넷응급센터는 3월 마지막 주에는 후난 멍시과기, 중국건축1국(그룹), 중국수산학회, 우한 바이제그룹시스템통합, 장쑤성 라디오TV총국, 장쑤 휘원S/W, ZZCMS, 허페이 정제정보자문, AutoDWG, 중국비축식량총공사 등 20곳 회사·기관의 정보시스템 또는 H/W·S/W 제품에서 보안 취약점이 확인됐다고 밝혔다.
이어 넷째 주에는 상하이 2345네트워크과기, 타이안싱지 네트워크과기, 베이징 원통과기, 샨시 니우쿠정보과기, 중국이예그룹, 선전시 쉰레이네트워크과기, zzcms, Gxlcms, 야생동식물보호국제(FFI)통제센터, 중국전기공정학회, 중국컴퓨터학회, CLTPHP, Yxcms Inc., 중국장애인연합회 등 36곳의 정보시스템 또는 제품에서 취약점이 발견됐다고 센터는 덧붙였다.
셋째 주에 정보시스템 또는 제품에서 보안 취약점이 발견된 기업·기관은 상하이 루쟈정보기술, 베이징 수도개발홀딩스(그룹), 선전시 쉰레이네트워크기술, 진샨S/W(킹소프트), BEESCMS, KingCMS, INFRAWARE, SemCms, 다미CMS, 중싱 PSIRT, ZZCMS, InfrawareCo.,Ltd, ShyPost, YzmCMS, Yxcms, 중국인민대외우호협회를 비롯해 47곳이었다.
둘째 주에는 롄샹그룹(Lenovo), 광저우 궈웨이S/W과기, INFRAWARE, 진샨S/W(킹소프트), 선전시 365과기, 후난 멍싱과기, 항저우 다나과기, 시안 싼차이과기실업, 중국국가도서관, FineCMS, EasySNS, dayucms, iCMS, INFRAWARE, UQCMS, YzmCMS, BEESCMS, Duomicms, 중국석유화학공업연합회, Yxcms Inc., 중국지식 사이트, 전국생태건설 사이트 등 54곳의 정보시스템 또는 제품에서 보안 취약점이 있는 것으로 확인됐다.
첫째 주에는 시나(SINA)닷컴, 광저우 후양정보과기, 진샨S/W(킹소프트), 중칭신용관리, 왕이(NetEase)닷컴, 상하이 롼종네트워크과기, 중국건설 2국안좡공정, 베이징중촨정보과기, 이후(베이징)전자상무, BEESCMS, x5music, FineCMS, UQCMS, UCMS, SchoolCMS, E-CMOS, BageCms, TRENDnet, Inc., 중국국가도서관, EduaskCMS、MacCMS, 이쉰S/W 등 38곳이라고 센터는 밝혔다.
애플리케이션 부문 취약점이 가장 많아...웹 애플리케이션·네트워크장비 부문 뒤이어
인터넷응급센터가 최종 등록한 정보보안 취약점들을 영향 대상에 따라 살펴보면, 3월 마지막 주(전체 등록 취약점 452개)에는 애플리케이션 (프로그램) 부문 취약점이 267개(점유율 59%)로 가장 많았다. 이어 운영체제 75개(16%), 웹 애플리케이션 부문 취약점 73개(16%), 네트워크 장비 30개(7%), 보안제품 6개(1%), 데이터베이스 부문 취약점이 1개(1%)로 파악됐다.
3월 넷째 주(전체 487개)에는 애플리케이션 부문 취약점이 248개(점유율 51%), 웹 애플리케이션 115개(24%), 운영체제 71개(14%), 네트워크 장비 부문 44개(9%), 보안제품 6개(1%), 데이터베이스 부문 3개(1%)로 평가됐다.
셋째 주(전체 취약점 460개)의 경우 애플리케이션 부문이 323개(점유율 70%), 웹 애플리케이션 52개(11%), 네트워크 장비 부문 48개(10%), 운영체제 32개(7%), 보안제품 4개(1%), 데이터베이스 부문 1개(1%)였다.
둘째 주 상황을 보면, 전체 386개 취약점 중 애플리케이션 부문 취약점이 239개(점유율 62%), 웹 애플리케이션 89개(23%), 운영체제 부문 취약점 18개(5%), 네트워크 장비 35개(9%), 보안제품 5개(1%)로 확인됐다. 첫째 주(전체 267개)에는 애플리케이션 부문 267개(점유율 67%), 웹 애플리케이션 45개(11%), 네트워크 장비 37개(9%), 운영체제 28개(7%), 보안제품 부문 10개(3%), 데이터베이스 취약점 10개(3%)로 파악됐다.
中 3월 통신·모바일 인터넷·공업제어시스템 부문별 정보보안 취약점 수량
인터넷응급센터가 정보보안 취약점을 분야 별로 나눠 조사한 결과, 3월 마지막 주에는 모바일 인터넷 분야 취약점이 34개(고위험 15개, 중위험 17개, 저위험 2개)로 가장 많았다. 통신 분야 취약점은 24개(고위험 4개, 중위험 18개, 저위험 2개), 공업제어시스템 분야 취약점 11개(고위험 3개, 중위험 8개)였다.
넷째 주에는 모바일 인터넷 분야 취약점 45개(고위험 21개, 중위험 4개, 저위험 44개), 공업제어 분야 12개(고위험 10개, 중위험 2개), 통신 분야 10개(고위험 4개, 중위험 4개, 저위험 2개) 순으로 많았다.
셋째 주에는 공업제어시스템 분야가 17개(고위험 4개, 중위험 12개, 저위험 1개)로 가장 많았고, 모바일 인터넷 분야 취약점 14개(고위험 11개, 중위험 3개), 통신 분야 12개(중위험 12개) 였다. 둘째 주에는 통신 분야 24개(고위험 13개, 중위험 10개, 저위험 1개), 모바일 인터넷 분야 취약점이 16개(고위험 6개, 중위험 9개, 저위험 1개), 공업제어시스템 분야 8개(고위험 5개, 중위험 3개)로 드러났다.
첫째 주에는 모바일 인터넷 분야 취약점이 31개(고위험 16개, 중위험 13개, 저위험 2개), 통신 분야 29개(고위험 12개, 중위험 16개, 저위험 1개), 공업제어시스템 분야 14개(고위험 9개, 중위험 5개)였다.
中 3월 기업 주요 정보보안 취약점 현황
지난 3월 주목을 받은 중국 기업들의 주요 정보보안 취약점을 살펴보면, 먼저 화웨이(Huawei)가 내놓은 기업용 교환기 ‘Huawei S12700’에 부당한 권한 부여 취약점(CNVD-2018-06688)이 존재한 것으로 드러났다. 공격자는 이 취약점을 이용해 정보를 빼낼 수 있다.
화웨이의 모듈화 디자인의 네트워크 장비 ‘Huawei DBS3900 TDD LTE’에서는 취약한 암호화 알고리즘 취약점(CNVD-2018-06068)이 확인됐다. 공격자는 이를 악용해 암호 데이터베이스를 해독하고 정보를 훔칠 수 있다. 화웨이의 여러 라우터 제품(Huawei AR120-S)들의 경우, 공격자들이 ‘OSPF(Open Shortest Path First)’ 소식 발송을 통해 서비스거부(시스템 마비)를 일으킬 수 있는 취약점(CNVD-2018-05550)이 존재했다.
화웨이의 스마트폰 ‘HuaweiMate 9 Pro’에는 메모리 릴리즈 취약점(CNVD-2018-05336)이 있었다. 공격자는 이미 루트(root) 권한을 획득한 이용자를 꾀어서 자체 제작한 애플리케이션 프로그램을 설치하고, 악의적 코드 실행을 이어간다.
스마트폰과 통신기기업체인 샤오미(Xiaomi)의 라우터 ‘R3D’에는 원격 임의명령 실행 취약점(CNVD-2018-04520)이 있는 것으로 확인됐다.
진샨S/W(Kingsoft)가 개발한 사무용 S/W ‘WPS Office’에서는 코드 실행 취약점(CNVD-2018-02023)이 있었다. 해커는 공격 대상 시스템에서 악성 코드를 실행하고 원격으로 악성 S/W를 실행하며 나아가 전체 운영체제를 제어할 수 있게 된다.
중국텅다(Tenda)가 내놓은 무선 공유기 ‘Tenda AC15’에서도 코드 실행 취약점(CNVD-2018-06266)이 탐지됐다. 공격자는 특제한 ‘COOKIE’ 파라미터를 빌어 이 취약점을 이용해 코드를 실행한다고 센터는 밝혔다.
롄샹(Lenovo)의 ‘LenovoThinkPad L560’, ‘Fingerprint Manager Pro’을 비롯한 여러 컴퓨터 제품에서는 공격자가 시스템에 접근할 수 있는 취약점(CNVD-2018-04363)이 발견됐다.
스마트 제어 기술제품업체인 저쟝 하이캉과기가 내놓은 단말기 특징 관리 시스템에서는 무단 방문 취약점(CNVD-2018-02410)이 존재했다. 공격자는 이 취약점을 이용해 권한 인증을 우회하고 민감한 리스트 또는 파일에 접근할 수 있다.
오픈소스형 콘텐츠관리시스템(CMS)인 ‘UCMS 1.2’ 버전에서는 파일 업로드 취약점(CNVD-2018-04289)이 탐지됐다. 해커는 이를 악용해 스크립트 트로이목마 파일을 직접 업로드하고 ‘webshell’을 얻을 수 있다고 센터는 밝혔다.
또한, PHP과 MySQL 기반의 오픈소스형 비디오 백그라운드 관리시스템 ‘joyplus-cms'에서도 임의 파일 업로드 취약점(CNVD-2018-06780)이 존재했다. 원격 공격자는 이를 이용해 임의 파일을 업로드하고 코드를 실행할 수 있다.
네트워크 장비 회사인 요우쉰(D-Link)이 내놓은 온라인 카메라 제품인 ‘D-Link DCS-933L’, ‘DCS-934L’에서는 권한 무단 획득 취약점(CNVD-2018-05967)이 드러났다. 공격자는 이 취약점을 이용해 카메라를 제어할 수 있게 된다.
상하이이쑤네트워크과기가 개발한 오프소스형 온라인쇼핑몰 시스템인 ‘ShopsN’(버전 v2.2.5)의 ‘AppUploadController.class.php’ 페이지에서는 파일 업로드 취약점(CNVD-2018-02969)이 확인됐다. 공격자는 이 취약점을 악용해 스크립트 목마를 업로드하고 ‘Webshell’을 획득하게 된다.
주하이 메이톈왕예스지(웹페이지 디자인) 회사가 내놓은 웹사이트 제작 시스템에서는 SQL 주입 취약점(CNVD-2018-03948)이 탐지됐다. 공격자는 이 취약점을 악용해 데이터베이스에 있는 중요한 정보에 접근하거나 수정할 수 있다.
이와 함께 클라우드 보안 솔루션 업체인 안취앤거우(Safedog)가 내놓은 웹사이트 및 서버 보안 툴(CNVD-2018-03946), ASP 온라인 쇼핑몰 플랫폼인 ‘Shop7z’(CNVD-2018-03486), 앱(APP)과 웹사이트 개발업체인 예판네트워크가 내놓은 웹사이트 개발 시스템(CNVD-2018-02963), 기업 웹사이트 제작 시스템 ‘DocCMS’(CNVD-2018-01507)에서도 모두 SQL 주입 취약점이 확인됐다.
오픈소스의 PC 및 모바일 웹사이트 제작시스템인 ‘따미 CMS v5.9.9’에는 코드 실행 취약점(CNVD-2018-03745)이 존재한 것으로 드러났다. 이 취약점으로 인해 시스템은 업로드된 파일 내용에 대해 충분한 필터링을 할 수 없게 된다. 공격자는 이 취약점을 이용해 트로이목마 파일을 업로드하고 ‘webshell’을 획득하게 된다.
콘텐츠관리 시스템인 ‘YUNUCMS’의 ‘v1.0.6’ 버전 백그라운드에서는 코드 실행 취약점(CNVD-2018-02776)이 탐지됐다. 공격자는 스크립트 코드를 만들어 설정 파일을 입력하고 명령을 실행하며 서버 권한을 손에 넣을 수 있게 된다.
기존 모듈에 대해 확충·복제를 진행한 웹사이트 시스템 핵심인 JTBC 웹사이트 콘텐츠관리시스템(PHP)의 경우, ‘manage.inc.php’ 페이지에 임의 파일 업로드 취약점(CNVD-2018-02519)이 존재했다. 공격자는 스크립트 목마 업로드를 통해 서버 권한을 통제할 수 있게 된다.
PHP 오픈소스형 웹사이트 관리 시스템인 ‘즈멍 콘텐츠관리 시스템(DedeCms)’의 백그라운드 캐시 파일에서는 코드 실행 취약점(CNVD-2018-02966)이 확인됐다. 이로 인해 공격자가 취약점을 이용해 생성한 캐시 파일이 로딩돼 실행되고, 임의 코드 실행이 일어난다.
또한 이 ‘즈멍 콘텐츠관리 시스템’의 ‘DedeCMS V5.7 SP2dede/sys_sql_query.php’ 파일에서는 코드 실행 취약점(CNVD-2018-01467)이 확인됐다. 공격자는 sql 어구 실행을 통해 트로이목마를 넣고 ‘webshell’을 획득할 수 있다.
웹사이트 콘텐츠와 소스, 트래픽의 보안 보호 솔루션인 ‘웹사이트 안취앤거우(Safedog)’에는 ‘Webshell 우회 취약점’ (CNVD-2018-02515)이 존재했다. 공격자는 이 보안 솔루션의 필터링을 우회해 ‘Webshell’을 업로드할 수 있다. 아울러 이 ‘안취앤거우(Safedog, Apache판)’의 4.0 버전에서는 SQL 주입 취약점(CNVD-2018-02087)이 존재했다. 이로 인해 데이터베이스 내 중요한 정보들이 유출될 수 있다.
B2C 독립 온라인쇼핑몰 제작 시스템인 ‘ECShop 3.0’에서는 코드 실행 취약점(CNVD-2018-02771)이 있었다. 공격자는 이 취약점을 이용해 코드를 실행하고 ‘getshell’을 얻게 된다. PHP과 MySQL 기반의 오픈소스형 구직·인력채용 시스템인 ‘phpyun’의 v4.3.1 Beta’ 버전에서는 시스템 재설치 취약점(CNVD-2018-02398)이 드러났다.
교육 학습 S/W인 ‘베이요우 웨이커 APP’에서는 여러 보안 취약점(CNVD-2018-02085)이 발견됐다. 공격자는 이 취약점을 악용해 임의 계정에 등록하고 임의 암호를 다시 설정하며 파일을 업로드할 수 있다. 나아가 서버 권한을 얻게 된다.
한편, 인터넷응급센터는 최종 등록한 정보보안 취약점 가운데 주요 국내외 업체(제품)의 수량과 비중을 살펴본 결과, 3월 마지막 주에는 Microsoft, IBM, Google, Linux, Cisco, Apache, Exempi, Xpdf, ZZCMS 순으로 상위 10위 안에 포함됐다고 밝혔다.
넷째 주에는 Microsoft, Google, IBM, Foxit, Joomla!, Atlassian, eQ-3 AG, Geutebruck, Linux 등 차례로 많았다. 셋째 주에는 Adobe, Cisco, Wireshark, Huawei, Microsoft, HP, libming, Schneider Electric, GNU 순으로 취약점 수량이 많았다.
둘째 주에는 Trend Micro(취약점 12개, 점유율 3%), CloudBees(11개, 3%), Gemalto(10개, 3%), Joomla!(10개, 3%), Google(7개, 2%), ImageMagick(6개, 2%), Atlassian(6개, 2%), WordPress(5개, 1%), F5(5개, 1%) 등이 수량 기준 상위 10위 안에 포함됐다. 끝으로 첫째 주에는 Google(취약점 41개, 점유율 10%), IBM(22개, 6%), Microsoft(21개, 5%), Blender(21개, 5%), Apache(17개, 4%), HP(14개, 4%), PHP Scripts Mall(13개, 3%), CCN-lite(10개, 3%), CloudBees(9개, 2%) 등 차례로 취약점 수량이 많았다고 센터는 밝혔다.
[중국 베이징 / 온기홍 특파원(onkihong@yahoo.com)]
[보안뉴스 온기홍=중국 베이징] 중국 ‘국가컴퓨터네트워크 응급기술처리 협조센터(CNCERT, 이하 인터넷응급센터)는 3월 국가정보보안취약점공유플랫폼(이하 CNVD)을 통해 협력업체(보안업체, 통신서비스업체, 통신기기장비업체)와 CNCERT지역 센터, 개인(화이트 해커)로부터 접수한 사건형 정보보안 취약점들을 평가해, 2,100여개를 확인·등록했다고 밝혔다.
센터는 지난 3월 마지막 주(3월 26일~4월 1일)에 정보보안 취약점 452개를 최종 등록했고, 3월 넷째 주(19일~25일)에 487개, 셋째 주(12일~18일) 460개, 둘째 주(5일~11일) 386개, 첫째 주(2월 26일~3월 4일)에 397개의 취약점을 각각 확인해 최종 등록했다고 덧붙였다.
정보보안 취약점을 위험 수준 등급별로 나눠 보면, 3월 마지막 주에는 전체 보안취약점 452개 가운데 ‘고위험’급 취약점이 134개, ‘중위험’급 276개, ‘저위험’급 42개로 평가됐다. 제로데이(0day) 관련 취약점은 92개로 전체의 20%를 차지했다. 3월 넷째 주(전체 보안 취약점 487개)에는 고위험급이 173개, 중위험급 282개, 저위험급 32개였다. 제로데이 취약점은 105개로 전체의 22%를 점유했다.
셋째 주(취약점 460개)의 경우 고위험급은 130개, 중위험 292개, 저위험 38개였다. 제로데이 취약점은 68개(전체의 15%)였다. 둘째 주(취약점 386개)에는 고위험급 취약점 124개, 중위험급 228개, 저위험급이 34개로 확인됐다. 제로데이 취약점은 132개(전체의 34%)에 달했다. 첫째 주(취약점 397개)에는 고위험급 144개, 중위험급 219개, 저위험급이 34개였다. 제로데이 취약점은 62개(전체의 16%) 였다.
인터넷응급센터는 3월 첫째 주부터 마지막 주까지 정보보안 취약점 위협 수준은 모두 ‘중간’으로 평가됐다고 밝혔다.
▲3월 정보보안 취약점 수량[자료=중국인터넷응급센터]
中 3월 정부기관 ·통신·금융·에너지·교육 부문 정보시스템 내 보안취약점 현황
인터넷응급센터가 CNVD를 통해 접수한 당·정부 기관 및 기업들과 관련된 사건형 보안 취약점을 보면, 3월 마지막 주에 391개(주간 11% 감소), 넷째 주 438개(주간 30% 감소), 셋째 주 622개(주간 3% 감소), 둘째 주 641개(주간 8% 감소), 첫째 주 679개였다.
센터가 중국 3개 유·무선 통신 서비스업체들에 통보한 정보보안 취약점 관련 사건은 3월 마지막 주 6건, 넷째 주 5건, 셋째 주 10건, 둘째 주 12건, 첫째 주 5건으로 집계됐다. 이어 센터가 은행, 증권, 보험, 에너지 등 중요 분야 기관·기업에 알린 보안 취약점 사건은 3월 마지막 주 12건, 넷째 주 12건, 셋째 주 25건, 둘째 주 27건, 첫째 주 12건이었다.
센터가 전국 각 지역의 CNCERT 센터와 협력해 검증·처리한 지방 중요 기관과 관련된 보안 취약점 사건은 3월 마지막 주 199건, 넷째 주 295건, 셋째 주 283건, 둘째 주 292건, 첫째 주 341건이었다. 센터가 고등교육 분야 응급조직과 협조해 검증·처리한 대학·연구원 시스템 취약점 사건은 3월 마지막 주 41건, 넷째 주 34건, 셋째 주 61건, 둘째 주 70건, 첫째 주 45건에 달했다.
또한 센터가 국가 상급 정보보안 협조 기관에 보고한 각 정부 부처 및 위원회의 홈페이지와 부설 웹사이트 또는 직속 기관의 정보시스템 내 취약점 사건은 3월 마지막 주 18건, 넷째 주 15건, 셋째 주 28건, 둘째 주 56건, 첫째 주 27건이었다.
中 3월 정보시스템·S/W·H/W내 보안 취약점 탐지된 기업·기관 현황
인터넷응급센터는 3월 마지막 주에는 후난 멍시과기, 중국건축1국(그룹), 중국수산학회, 우한 바이제그룹시스템통합, 장쑤성 라디오TV총국, 장쑤 휘원S/W, ZZCMS, 허페이 정제정보자문, AutoDWG, 중국비축식량총공사 등 20곳 회사·기관의 정보시스템 또는 H/W·S/W 제품에서 보안 취약점이 확인됐다고 밝혔다.
이어 넷째 주에는 상하이 2345네트워크과기, 타이안싱지 네트워크과기, 베이징 원통과기, 샨시 니우쿠정보과기, 중국이예그룹, 선전시 쉰레이네트워크과기, zzcms, Gxlcms, 야생동식물보호국제(FFI)통제센터, 중국전기공정학회, 중국컴퓨터학회, CLTPHP, Yxcms Inc., 중국장애인연합회 등 36곳의 정보시스템 또는 제품에서 취약점이 발견됐다고 센터는 덧붙였다.
셋째 주에 정보시스템 또는 제품에서 보안 취약점이 발견된 기업·기관은 상하이 루쟈정보기술, 베이징 수도개발홀딩스(그룹), 선전시 쉰레이네트워크기술, 진샨S/W(킹소프트), BEESCMS, KingCMS, INFRAWARE, SemCms, 다미CMS, 중싱 PSIRT, ZZCMS, InfrawareCo.,Ltd, ShyPost, YzmCMS, Yxcms, 중국인민대외우호협회를 비롯해 47곳이었다.
둘째 주에는 롄샹그룹(Lenovo), 광저우 궈웨이S/W과기, INFRAWARE, 진샨S/W(킹소프트), 선전시 365과기, 후난 멍싱과기, 항저우 다나과기, 시안 싼차이과기실업, 중국국가도서관, FineCMS, EasySNS, dayucms, iCMS, INFRAWARE, UQCMS, YzmCMS, BEESCMS, Duomicms, 중국석유화학공업연합회, Yxcms Inc., 중국지식 사이트, 전국생태건설 사이트 등 54곳의 정보시스템 또는 제품에서 보안 취약점이 있는 것으로 확인됐다.
첫째 주에는 시나(SINA)닷컴, 광저우 후양정보과기, 진샨S/W(킹소프트), 중칭신용관리, 왕이(NetEase)닷컴, 상하이 롼종네트워크과기, 중국건설 2국안좡공정, 베이징중촨정보과기, 이후(베이징)전자상무, BEESCMS, x5music, FineCMS, UQCMS, UCMS, SchoolCMS, E-CMOS, BageCms, TRENDnet, Inc., 중국국가도서관, EduaskCMS、MacCMS, 이쉰S/W 등 38곳이라고 센터는 밝혔다.
애플리케이션 부문 취약점이 가장 많아...웹 애플리케이션·네트워크장비 부문 뒤이어
인터넷응급센터가 최종 등록한 정보보안 취약점들을 영향 대상에 따라 살펴보면, 3월 마지막 주(전체 등록 취약점 452개)에는 애플리케이션 (프로그램) 부문 취약점이 267개(점유율 59%)로 가장 많았다. 이어 운영체제 75개(16%), 웹 애플리케이션 부문 취약점 73개(16%), 네트워크 장비 30개(7%), 보안제품 6개(1%), 데이터베이스 부문 취약점이 1개(1%)로 파악됐다.
3월 넷째 주(전체 487개)에는 애플리케이션 부문 취약점이 248개(점유율 51%), 웹 애플리케이션 115개(24%), 운영체제 71개(14%), 네트워크 장비 부문 44개(9%), 보안제품 6개(1%), 데이터베이스 부문 3개(1%)로 평가됐다.
셋째 주(전체 취약점 460개)의 경우 애플리케이션 부문이 323개(점유율 70%), 웹 애플리케이션 52개(11%), 네트워크 장비 부문 48개(10%), 운영체제 32개(7%), 보안제품 4개(1%), 데이터베이스 부문 1개(1%)였다.
둘째 주 상황을 보면, 전체 386개 취약점 중 애플리케이션 부문 취약점이 239개(점유율 62%), 웹 애플리케이션 89개(23%), 운영체제 부문 취약점 18개(5%), 네트워크 장비 35개(9%), 보안제품 5개(1%)로 확인됐다. 첫째 주(전체 267개)에는 애플리케이션 부문 267개(점유율 67%), 웹 애플리케이션 45개(11%), 네트워크 장비 37개(9%), 운영체제 28개(7%), 보안제품 부문 10개(3%), 데이터베이스 취약점 10개(3%)로 파악됐다.
▲3월 중국 내 정보보안 취약점의 영향 대상에 따른 유형[자료=중국인터넷응급센터]
中 3월 통신·모바일 인터넷·공업제어시스템 부문별 정보보안 취약점 수량
인터넷응급센터가 정보보안 취약점을 분야 별로 나눠 조사한 결과, 3월 마지막 주에는 모바일 인터넷 분야 취약점이 34개(고위험 15개, 중위험 17개, 저위험 2개)로 가장 많았다. 통신 분야 취약점은 24개(고위험 4개, 중위험 18개, 저위험 2개), 공업제어시스템 분야 취약점 11개(고위험 3개, 중위험 8개)였다.
넷째 주에는 모바일 인터넷 분야 취약점 45개(고위험 21개, 중위험 4개, 저위험 44개), 공업제어 분야 12개(고위험 10개, 중위험 2개), 통신 분야 10개(고위험 4개, 중위험 4개, 저위험 2개) 순으로 많았다.
셋째 주에는 공업제어시스템 분야가 17개(고위험 4개, 중위험 12개, 저위험 1개)로 가장 많았고, 모바일 인터넷 분야 취약점 14개(고위험 11개, 중위험 3개), 통신 분야 12개(중위험 12개) 였다. 둘째 주에는 통신 분야 24개(고위험 13개, 중위험 10개, 저위험 1개), 모바일 인터넷 분야 취약점이 16개(고위험 6개, 중위험 9개, 저위험 1개), 공업제어시스템 분야 8개(고위험 5개, 중위험 3개)로 드러났다.
첫째 주에는 모바일 인터넷 분야 취약점이 31개(고위험 16개, 중위험 13개, 저위험 2개), 통신 분야 29개(고위험 12개, 중위험 16개, 저위험 1개), 공업제어시스템 분야 14개(고위험 9개, 중위험 5개)였다.
中 3월 기업 주요 정보보안 취약점 현황
지난 3월 주목을 받은 중국 기업들의 주요 정보보안 취약점을 살펴보면, 먼저 화웨이(Huawei)가 내놓은 기업용 교환기 ‘Huawei S12700’에 부당한 권한 부여 취약점(CNVD-2018-06688)이 존재한 것으로 드러났다. 공격자는 이 취약점을 이용해 정보를 빼낼 수 있다.
화웨이의 모듈화 디자인의 네트워크 장비 ‘Huawei DBS3900 TDD LTE’에서는 취약한 암호화 알고리즘 취약점(CNVD-2018-06068)이 확인됐다. 공격자는 이를 악용해 암호 데이터베이스를 해독하고 정보를 훔칠 수 있다. 화웨이의 여러 라우터 제품(Huawei AR120-S)들의 경우, 공격자들이 ‘OSPF(Open Shortest Path First)’ 소식 발송을 통해 서비스거부(시스템 마비)를 일으킬 수 있는 취약점(CNVD-2018-05550)이 존재했다.
화웨이의 스마트폰 ‘HuaweiMate 9 Pro’에는 메모리 릴리즈 취약점(CNVD-2018-05336)이 있었다. 공격자는 이미 루트(root) 권한을 획득한 이용자를 꾀어서 자체 제작한 애플리케이션 프로그램을 설치하고, 악의적 코드 실행을 이어간다.
스마트폰과 통신기기업체인 샤오미(Xiaomi)의 라우터 ‘R3D’에는 원격 임의명령 실행 취약점(CNVD-2018-04520)이 있는 것으로 확인됐다.
진샨S/W(Kingsoft)가 개발한 사무용 S/W ‘WPS Office’에서는 코드 실행 취약점(CNVD-2018-02023)이 있었다. 해커는 공격 대상 시스템에서 악성 코드를 실행하고 원격으로 악성 S/W를 실행하며 나아가 전체 운영체제를 제어할 수 있게 된다.
중국텅다(Tenda)가 내놓은 무선 공유기 ‘Tenda AC15’에서도 코드 실행 취약점(CNVD-2018-06266)이 탐지됐다. 공격자는 특제한 ‘COOKIE’ 파라미터를 빌어 이 취약점을 이용해 코드를 실행한다고 센터는 밝혔다.
롄샹(Lenovo)의 ‘LenovoThinkPad L560’, ‘Fingerprint Manager Pro’을 비롯한 여러 컴퓨터 제품에서는 공격자가 시스템에 접근할 수 있는 취약점(CNVD-2018-04363)이 발견됐다.
스마트 제어 기술제품업체인 저쟝 하이캉과기가 내놓은 단말기 특징 관리 시스템에서는 무단 방문 취약점(CNVD-2018-02410)이 존재했다. 공격자는 이 취약점을 이용해 권한 인증을 우회하고 민감한 리스트 또는 파일에 접근할 수 있다.
오픈소스형 콘텐츠관리시스템(CMS)인 ‘UCMS 1.2’ 버전에서는 파일 업로드 취약점(CNVD-2018-04289)이 탐지됐다. 해커는 이를 악용해 스크립트 트로이목마 파일을 직접 업로드하고 ‘webshell’을 얻을 수 있다고 센터는 밝혔다.
또한, PHP과 MySQL 기반의 오픈소스형 비디오 백그라운드 관리시스템 ‘joyplus-cms'에서도 임의 파일 업로드 취약점(CNVD-2018-06780)이 존재했다. 원격 공격자는 이를 이용해 임의 파일을 업로드하고 코드를 실행할 수 있다.
네트워크 장비 회사인 요우쉰(D-Link)이 내놓은 온라인 카메라 제품인 ‘D-Link DCS-933L’, ‘DCS-934L’에서는 권한 무단 획득 취약점(CNVD-2018-05967)이 드러났다. 공격자는 이 취약점을 이용해 카메라를 제어할 수 있게 된다.
상하이이쑤네트워크과기가 개발한 오프소스형 온라인쇼핑몰 시스템인 ‘ShopsN’(버전 v2.2.5)의 ‘AppUploadController.class.php’ 페이지에서는 파일 업로드 취약점(CNVD-2018-02969)이 확인됐다. 공격자는 이 취약점을 악용해 스크립트 목마를 업로드하고 ‘Webshell’을 획득하게 된다.
주하이 메이톈왕예스지(웹페이지 디자인) 회사가 내놓은 웹사이트 제작 시스템에서는 SQL 주입 취약점(CNVD-2018-03948)이 탐지됐다. 공격자는 이 취약점을 악용해 데이터베이스에 있는 중요한 정보에 접근하거나 수정할 수 있다.
이와 함께 클라우드 보안 솔루션 업체인 안취앤거우(Safedog)가 내놓은 웹사이트 및 서버 보안 툴(CNVD-2018-03946), ASP 온라인 쇼핑몰 플랫폼인 ‘Shop7z’(CNVD-2018-03486), 앱(APP)과 웹사이트 개발업체인 예판네트워크가 내놓은 웹사이트 개발 시스템(CNVD-2018-02963), 기업 웹사이트 제작 시스템 ‘DocCMS’(CNVD-2018-01507)에서도 모두 SQL 주입 취약점이 확인됐다.
오픈소스의 PC 및 모바일 웹사이트 제작시스템인 ‘따미 CMS v5.9.9’에는 코드 실행 취약점(CNVD-2018-03745)이 존재한 것으로 드러났다. 이 취약점으로 인해 시스템은 업로드된 파일 내용에 대해 충분한 필터링을 할 수 없게 된다. 공격자는 이 취약점을 이용해 트로이목마 파일을 업로드하고 ‘webshell’을 획득하게 된다.
콘텐츠관리 시스템인 ‘YUNUCMS’의 ‘v1.0.6’ 버전 백그라운드에서는 코드 실행 취약점(CNVD-2018-02776)이 탐지됐다. 공격자는 스크립트 코드를 만들어 설정 파일을 입력하고 명령을 실행하며 서버 권한을 손에 넣을 수 있게 된다.
기존 모듈에 대해 확충·복제를 진행한 웹사이트 시스템 핵심인 JTBC 웹사이트 콘텐츠관리시스템(PHP)의 경우, ‘manage.inc.php’ 페이지에 임의 파일 업로드 취약점(CNVD-2018-02519)이 존재했다. 공격자는 스크립트 목마 업로드를 통해 서버 권한을 통제할 수 있게 된다.
PHP 오픈소스형 웹사이트 관리 시스템인 ‘즈멍 콘텐츠관리 시스템(DedeCms)’의 백그라운드 캐시 파일에서는 코드 실행 취약점(CNVD-2018-02966)이 확인됐다. 이로 인해 공격자가 취약점을 이용해 생성한 캐시 파일이 로딩돼 실행되고, 임의 코드 실행이 일어난다.
또한 이 ‘즈멍 콘텐츠관리 시스템’의 ‘DedeCMS V5.7 SP2dede/sys_sql_query.php’ 파일에서는 코드 실행 취약점(CNVD-2018-01467)이 확인됐다. 공격자는 sql 어구 실행을 통해 트로이목마를 넣고 ‘webshell’을 획득할 수 있다.
웹사이트 콘텐츠와 소스, 트래픽의 보안 보호 솔루션인 ‘웹사이트 안취앤거우(Safedog)’에는 ‘Webshell 우회 취약점’ (CNVD-2018-02515)이 존재했다. 공격자는 이 보안 솔루션의 필터링을 우회해 ‘Webshell’을 업로드할 수 있다. 아울러 이 ‘안취앤거우(Safedog, Apache판)’의 4.0 버전에서는 SQL 주입 취약점(CNVD-2018-02087)이 존재했다. 이로 인해 데이터베이스 내 중요한 정보들이 유출될 수 있다.
B2C 독립 온라인쇼핑몰 제작 시스템인 ‘ECShop 3.0’에서는 코드 실행 취약점(CNVD-2018-02771)이 있었다. 공격자는 이 취약점을 이용해 코드를 실행하고 ‘getshell’을 얻게 된다. PHP과 MySQL 기반의 오픈소스형 구직·인력채용 시스템인 ‘phpyun’의 v4.3.1 Beta’ 버전에서는 시스템 재설치 취약점(CNVD-2018-02398)이 드러났다.
교육 학습 S/W인 ‘베이요우 웨이커 APP’에서는 여러 보안 취약점(CNVD-2018-02085)이 발견됐다. 공격자는 이 취약점을 악용해 임의 계정에 등록하고 임의 암호를 다시 설정하며 파일을 업로드할 수 있다. 나아가 서버 권한을 얻게 된다.
▲3월 중국 내 보안 취약점이 발견된 일부 제품 관련 업체 분포[자료=중국인터넷응급센터]
한편, 인터넷응급센터는 최종 등록한 정보보안 취약점 가운데 주요 국내외 업체(제품)의 수량과 비중을 살펴본 결과, 3월 마지막 주에는 Microsoft, IBM, Google, Linux, Cisco, Apache, Exempi, Xpdf, ZZCMS 순으로 상위 10위 안에 포함됐다고 밝혔다.
넷째 주에는 Microsoft, Google, IBM, Foxit, Joomla!, Atlassian, eQ-3 AG, Geutebruck, Linux 등 차례로 많았다. 셋째 주에는 Adobe, Cisco, Wireshark, Huawei, Microsoft, HP, libming, Schneider Electric, GNU 순으로 취약점 수량이 많았다.
둘째 주에는 Trend Micro(취약점 12개, 점유율 3%), CloudBees(11개, 3%), Gemalto(10개, 3%), Joomla!(10개, 3%), Google(7개, 2%), ImageMagick(6개, 2%), Atlassian(6개, 2%), WordPress(5개, 1%), F5(5개, 1%) 등이 수량 기준 상위 10위 안에 포함됐다. 끝으로 첫째 주에는 Google(취약점 41개, 점유율 10%), IBM(22개, 6%), Microsoft(21개, 5%), Blender(21개, 5%), Apache(17개, 4%), HP(14개, 4%), PHP Scripts Mall(13개, 3%), CCN-lite(10개, 3%), CloudBees(9개, 2%) 등 차례로 취약점 수량이 많았다고 센터는 밝혔다.
[중국 베이징 / 온기홍 특파원(onkihong@yahoo.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
원병철기자 기사보기
[2024-11-22] .jpg)
.jpg)
.jpg)
.jpg)
.jpg)
