.jpg)
.jpg)
인터넷응급센터, “11월 고위험급 취약점 366개”
화웨이·샤오미 등 中 주요 업체 제품에서 정보보안 취약점 발견돼
[보안뉴스 온기홍=중국 베이징] 중국 ‘국가컴퓨터네트워크 응급기술처리 협조센터(CNCERT, 이하 인터넷응급센터)는 11월 마지막 주(11월 26일~12월 2일) 국가정보보안취약점공유플랫폼(이하 CNVD)을 통해 협력업체(보안업체, 통신서비스업체, 통신기기장비업체)들과 CNCERT 지역 센터, 개인(화이트 해커)로부터 접수한 사건형 정보보안 취약점들을 평가해, 최종 213개를 확인해 등록했다고 최근 밝혔다.
인터넷응급센터는 △11월 넷째 주(19일~25일) 153개 △셋째 주(12일~18일) 202개 △둘째 주(5일~11일) 172개 △첫째 주(10월 29일~11월 4일) 203개의 정보보안 취약점을 각각 확인해 최종 등록했다고 덧붙였다.
정보보안 취약점을 위험 수준 등급별로 나눠 보면, 11월 마지막 주 취약점 213개 가운데 고위험급 취약점이 45개, 중위험급 159개, 저위험급 9개로 평가됐다. 제로데이(0day) 관련 취약점은 66개로 전체의 31%에 달했다. 11월 넷째 주(전체 취약점 153개)에는 고위험급이 61개, 중위험급 82개, 저위험급 10개였다. 제로데이 취약점은 전체의 25%인 38개였다.
셋째 주(전체 취약점 202개)에는 고위험급이 100개, 중위험급 81개, 저위험급 21개였다. 제로데이 취약점은 전체의 41%인 82개였다. 둘째 주(전체 취약점 172개)의 경우, 고위험급은 70개, 중위험급 89개, 저위험급 13개였다. 제로데이 취약점은 47개(전체의 27%)로 집계됐다. 첫째 주(취약점 203개)에는 고위험급 취약점 90개, 중위험급 106개, 저위험급이 7개였으며, 제로데이 취약점은 37개(전체의 18%)로 확인됐다.
인터넷응급센터가 평가한 정보보안 취약점 위협 등급을 보면, 11월 첫째 주부터 마지막 주까지 모두 ‘중간’이었다.
11월 정부기관·통신·금융·에너지·교육 부문 정보시스템 내 보안취약점 탐지 현황
중국 인터넷응급센터가 CNVD를 통해 접수한 당·정부 기관 및 기업들과 관련된 사건형 보안 취약점을 보면, 11월 마지막 주 884개(주간 35% 감소), 넷째 주 1,352개(주간 5% 증가), 셋째 주 1,289개(주간 5% 증가), 둘째 주 1,228개(주간 18% 증가), 첫째 주 1,005개(주간 10% 증가)였다.
인터넷응급센터가 중국 3개 유·무선 통신 서비스업체들에 통보한 정보보안 취약점 관련 사건은 11월 마지막 주 4건, 넷째 주 3건, 셋째 주 4건, 둘째 주 0건, 첫째 주 1건으로 집계됐다. 센터가 은행, 증권, 보험, 에너지 등 중요 분야 기관·기업에 알린 보안 취약점 사건은 11월 마지막 주 26건, 넷째 주 27건, 셋째 주 26건, 둘째 주 28건, 첫째 주 11건에 달했다.
이어 센터가 전국 각 지역의 CNCERT 센터와 협력해 검증·처리한 지방 중요기관과 관련된 보안 취약점 사건은 11월 마지막 주 306건, 넷째 주 179건, 셋째 주 238건, 둘째 주 256건, 첫째 주 130건에 달했다. 또한 센터가 교육 분야 응급기관과 협조해 검증·처리한 대학·연구원 시스템 취약점 사건은 11월 마지막 주 64건, 넷째 주 66건, 셋째 주 141건, 둘째 주 60건, 첫째 주 17건이었다.
센터가 국가 상급 정보보안 협조 기관에 보고한 각 정부 부처 및 위원회의 홈페이지와 부설 웹사이트 또는 직속 기관의 정보시스템 내 취약점 사건은 11월 마지막 주 24건, 넷째 주 20건, 셋째 주 32건, 둘째 주 19건, 첫째 주 9건이었다.
애플리케이션 프로그램 부문에 정보보안 취약점 가장 많아
인터넷응급센터가 최종 등록한 정보보안 취약점들을 영향 대상에 따라 나눠 보면, 11월 마지막 주(전체 등록 취약점 213개)는 애플리케이션 프로그램 부문 취약점이 162개(점유율 76%)로 가장 많았다. 운영체제 20개(9%), 웹 애플리케이션 취약점 16개(8%), 네트워크 장비 11개(5%), 데이터베이스 부문이 4개(2%)로 뒤를 이었다.
11월 넷째 주(전체 취약점 153개)에는 애플리케이션 부문 취약점이 119개(점유율 78%)였고, 네트워크 장비 18개(12%), 웹 애플리케이션 취약점 11개(7%), 운영체제 4개(2%), 데이터베이스 부문이 1개(1%)로 파악됐다. 셋째 주(전체 취약점 202개)의 경우, 애플리케이션 부문이 109개(점유율 54%), 웹 애플리케이션 55개(27%), 운영체제 27개(13%), 네트워크 장비 8개(4%), 보안제품 2개(1%), 데이터베이스 부문 취약점은 1개(1%)로 집계됐다.
둘째 주(전체 취약점 172개)에는 애플리케이션 부문이 68개(점유율 40%), 운영체제 62개(36%), 네트워크 장비 26개(15%), 웹 애플리케이션 12개(7%), 데이터베이스 부문 취약점은 4개(2%)였다. 첫째 주(전체 취약점 203개)에는 애플리케이션 부문 취약점이 93개로 전체의 46%를 차지했고, 웹 애플리케이션 72개(36%), 네트워크 장비 16개(8%), 운영체제 부문 취약점 15개(7%), 보안제품 7개(3%)로 확인됐다.
11월 中 통신·모바일 인터넷·공업제어시스템 부문별 보안 취약점
인터넷응급센터가 정보보안 취약점을 분야 별로 나눠 조사한 결과, 11월 마지막 주 통신 부문 취약점은 20개(고위험 6개, 중위험 12개, 저위험 2개), 모바일 인터넷 부문 취약점이 9개(고위험 3개, 중위험 6개)로 가장 많았다. 공업제어시스템 부문 취약점은 4개(고위험 4개)로 확인됐다.
11월 넷째 주에는 모바일 인터넷 부문 취약점 11개(고위험 1개, 중위험 9개, 저위험 1개), 통신 부문 9개(고위험 7개, 중위험 2개), 공업제어 부문 1개(고위험 1개) 순으로 많았다. 셋째 주에는 통신 부문 9개(고위험 7개, 중위험 2개), 모바일 인터넷 부문 취약점 4개(고위험 1개, 중위험 3개), 공업제어 부문 2개(중위험 2개)였다. 둘째 주에는 모바일 인터넷 부문이 취약점 55개(고위험 16개, 중위험 38개, 저위험 1개)로 가장 많았고, 공업제어시스템 부문이 3개(중위험 3개), 통신 부문 3개(고위험 1개, 중위험 2개)로 확인됐다. 첫째 주에는 통신 부문 16개(고위험 8개, 중위험 8개), 모바일 인터넷 부문 취약점이 8개(고위험 6개, 중위험 2개), 공업제어시스템 부문 4개(중위험 3개, 저위험 1개)였다.
한편 인터넷응급센터는 최종 등록한 정보보안 취약점 가운데 주요 국내외 업체(제품)의 수량과 비중을 살펴본 결과, 11월 마지막 주 Oracle, Google, Linux, IBM, WordPress, TIBCO, TOTOLINK, Artifex Software, Microsoft 순으로 상위 10위 안에 들었다고 밝혔다. 넷째 주에는 IBM, Foxit, Google, Microsoft, Axis, Dell, perfSONAR, TP-Link, Cisco 등 차례로 보안 취약점 수량이 많았다. 셋째 주에는 Foxit, Apple, IBM, Microsoft, LAOBANCMS, Broadcom, 전장시윈요우네트워크과기유한공사(镇江市云优网络科技有限公司), Nagios, WordPress 순으로 보안 취약점 수량이 많았다.
둘째 주에는 Google(취약점 수량 49개, 점유율 28%), IBM(13개/8%), Apple(12개/7%), YI Technology(12개/7%), Mozilla(8개/5%), Foscam(7개/4%), White Shark System(7개/4%), Apache(4개/2%), Cisco(4개/2%) 순으로 보안 취약점 점유율이 높았다. 첫째 주에는 IBM(취약점 수량 16개, 점유율 8%), Apple(14개/7%), Google(14개/7%), GNU(11개/5%), Foxit(8개/4%), 상하이이수네트워크과기유한회사(上海亿速网络科技有限公司, 8개/4%), 전장시 윈요우네트워크과기유한회사(镇江市云优网络科技有限公司, 6개/3%), Envato Pty Ltd.(5개/2%), Apache(4개/2%), 기타(117개/58%) 등의 보안 취약점 수량이 확인됐다고 센터는 밝혔다.
11월 화웨이·샤오미 등 주요 업체 제품 내 보안 취약점 존재
화웨이(Huawei)가 개발해 내놓은 스마트폰 ‘Mate9 Pro’, ‘Nova 2 Plus’에서 지난 달 ‘FRP 우회 취약점(CNVD-2018-23257)’이 확인됐다고 인터넷응급센터는 밝혔다. 공격자는 데이터 케이블을 통해 해당 스마트폰과 다른 스마트폰을 연결시킨 다음, 일련의 특정 조작을 실행한다. 이로써 ‘FRP’를 우회할 수 있다고 센터는 덧붙였다. 화웨이의 또 다른 스마트폰 ‘ALP-AL00B’, ‘BLA-AL00B’에서는 인증우회 취약점(CNVD-2018-22641)이 발견됐다고 센터는 밝혔다. 공격자는 이 취약점을 이용해 부팅 프로그램을 바꿔서 스마트폰에 있는 정보를 획득하고 단말기를 제어할 수 있게 된다.
화웨이가 내놓은 스마트 스포츠 시계 ‘Huawei Watch 2’에는 권한제어 취약점(CNVD-2018-22278)이 있는 것으로 확인됐다. 공격자는 이 시계와 묶여 있는 화웨이 계정을 알고 있는 상태에서 시계상에서 일련의 조작을 통해 권한 검증을 우회하고 특정 조작을 실행하며, 시계 안의 일부 데이터를 수정하게 된다. 화웨이의 IP 전화기 ‘Huawei eSpace 7950’에서는 ‘SRTP로고 표시 취약점’(CNVD-2018-23258)이 발견됐다. 공격자는 비(非)안전 전송 모드에서 중간자 공격 인터셉트 메시지를 게시한다. 또 이 취약점을 성공적으로 이용한 뒤 통화 정보를 획득해 변조시킬 수 있다. 이 때문에 민감한 정보들이 유출된다.
샤오미(Xiaomi)가 출시한 무선 라우터 ‘XiaomiMi Router 3’에서는 명령 주입 취약점(CNVD-2018-24303)이 발견됐다. 공격자는 ‘payload’URL’ 파라미터를 바탕으로 이 취약점을 이용해 임의 시스템 명령을 실행할 수 있다. 샤오미의 기업용 라우터 ‘H3CER2100n’에서도 서비스거부 취약점(CNVD-2018-22111)이 존재하는 것으로 확인됐다. 샤오미의 라우터 제품 ‘HD’와 ‘3C’에서는 코드 실행 취약점(CNVD-2018-21082/20875)이 탐지됐다.
중국 업체들이 개발한 콘텐츠관리시스템(CMS)에서도 여러 보안 취약점들이 탐지됐다. 커롱웨이트전자가 내놓은 콘텐츠관리시스템 ‘CMS v1.7.3’에서는 코드 실행 취약점(CNVD-2018-22131)이 발견됐다. 공격자는 이 취약점을 이용해 웹사이트 서버 제어권을 얻을 수 있게 된다. 또 다른 웹사이트 콘텐츠관리시스템(CMS) ‘PHPCMS 2008’에서는 코드 주입 취약점이 탐지됐다. 공격자는 이 취약점을 이용해 권한 없이 웹사이트 파일에 대해 기입이 가능하다. 항저우 소재 한천과기의 포털 웹사이트 콘텐츠관리 시스템 ‘Hansun CMS’에서는 정보유출 취약점(CNVD-2018-19752)이 발견됐다. 공격자는 이를 악용해 데이터베이스에 연결해서 민감한 정보들을 빼낼 수 있다.
중국 업체들의 라우터 제품에서도 여러 보안 취약점이 발견됐다. 푸롄(TP-LINK)의 기업용 라우터 ‘TP-LinkTL-R600VPN’에는 HTTP Server 버퍼 오버플로우(Buffer Overflow) 취약점(CNVD-2018-23629)이 존재한다고 인터넷응급센터는 밝혔다. 공격자는 특제한 리퀘스트를 발송하고 이 취약점을 이용해 웹 서버 마비를 일으키거나 코드를 실행하게 된다.
요우쉰그룹(D-Link)의 무선 라우터 ‘D-Link DIR-823G’에는 명령 주입 취약점(CNVD-2018-20699)이 있는 것으로 밝혀졌다. 공격자는 이를 통해 임의 코드를 실행할 수 있다. 이 회사의 집중화 무선 관리 S/W인 ‘D-LINK Central Wifi Manager CWM-100’에는 ‘트로이목마 FileSYSTEM 권한 상승 취약점’(CNVD-2018-22944)이 있는 것으로 드러났다. 공격자는 이 취약점을 이용해 ‘D-Link Central WiFiManager CWM-100 1.03 r0098’ 설비에 트로이목마 ‘quserex.dll’를 투입한다.
텅다(Tenda)가 개발한 무선 라우터 제품 ‘Tenda AC7’에서는 ‘httpd 버퍼 오버플로우 취약점’(CNVD-2018-22314)이 탐지됐다. 공격자는 이 취약점을 이용해 서비스거부를 일으킬 수 있다. 루이제네트워크(锐捷网络)가 내놓은 라우터 ‘NBR1300G-E’에서는 명령 실행 취약점(CNVD-2018-22138)이 탐지됐다.
푸스캉(Foscam)의 IP 카메라 ‘Foscam OptiCam i5’에서는 공격자가 설비를 제어할 있는 설계 취약점(CNVD-2018-22816)이 탐지됐다.
마케팅 관련 기업 ‘YUNUCMS’의 웹사이트 구축관리시스템에는 SQL 주입 취약점(CNVD-2018-21955)이 존재하는 것으로 드러났다. 공격자는 이를 이용해 데이터베이스에 있는 민감한 정보들을 빼낼 수 있다.
멍싱샹지의 웹사이트 구축시스템은 ‘PHP+MySQL’ 방식을 채택해 실행되는 오픈소스 기반 시스템으로 ‘SQL 주입 취약점’(CNVD-2018-22135)이 있는 것으로 확인됐다. 공격자는 이 취약점을 이용해 관리자 계정과 비밀번호를 수정할 수 있다. 동시에 이 시스템에서는 파일 업로드 취약점(CNVD-2018-22159)도 탐지됐다. 공격자는 이를 이용해 임의 파일을 업로드하고 웹사이트 서버 제어권을 손에 넣을 수 있게 된다.
[중국 베이징 / 온기홍 특파원(onkihong@yahoo.com)]
화웨이·샤오미 등 中 주요 업체 제품에서 정보보안 취약점 발견돼
[보안뉴스 온기홍=중국 베이징] 중국 ‘국가컴퓨터네트워크 응급기술처리 협조센터(CNCERT, 이하 인터넷응급센터)는 11월 마지막 주(11월 26일~12월 2일) 국가정보보안취약점공유플랫폼(이하 CNVD)을 통해 협력업체(보안업체, 통신서비스업체, 통신기기장비업체)들과 CNCERT 지역 센터, 개인(화이트 해커)로부터 접수한 사건형 정보보안 취약점들을 평가해, 최종 213개를 확인해 등록했다고 최근 밝혔다.
[이미지=iclickart]
인터넷응급센터는 △11월 넷째 주(19일~25일) 153개 △셋째 주(12일~18일) 202개 △둘째 주(5일~11일) 172개 △첫째 주(10월 29일~11월 4일) 203개의 정보보안 취약점을 각각 확인해 최종 등록했다고 덧붙였다.
정보보안 취약점을 위험 수준 등급별로 나눠 보면, 11월 마지막 주 취약점 213개 가운데 고위험급 취약점이 45개, 중위험급 159개, 저위험급 9개로 평가됐다. 제로데이(0day) 관련 취약점은 66개로 전체의 31%에 달했다. 11월 넷째 주(전체 취약점 153개)에는 고위험급이 61개, 중위험급 82개, 저위험급 10개였다. 제로데이 취약점은 전체의 25%인 38개였다.
셋째 주(전체 취약점 202개)에는 고위험급이 100개, 중위험급 81개, 저위험급 21개였다. 제로데이 취약점은 전체의 41%인 82개였다. 둘째 주(전체 취약점 172개)의 경우, 고위험급은 70개, 중위험급 89개, 저위험급 13개였다. 제로데이 취약점은 47개(전체의 27%)로 집계됐다. 첫째 주(취약점 203개)에는 고위험급 취약점 90개, 중위험급 106개, 저위험급이 7개였으며, 제로데이 취약점은 37개(전체의 18%)로 확인됐다.
인터넷응급센터가 평가한 정보보안 취약점 위협 등급을 보면, 11월 첫째 주부터 마지막 주까지 모두 ‘중간’이었다.
▲11월 중 중국 인터넷응급센터가 공식 확인해 등록한 중국 내 정보보안 취약점[자료=CNCERT]
11월 정부기관·통신·금융·에너지·교육 부문 정보시스템 내 보안취약점 탐지 현황
중국 인터넷응급센터가 CNVD를 통해 접수한 당·정부 기관 및 기업들과 관련된 사건형 보안 취약점을 보면, 11월 마지막 주 884개(주간 35% 감소), 넷째 주 1,352개(주간 5% 증가), 셋째 주 1,289개(주간 5% 증가), 둘째 주 1,228개(주간 18% 증가), 첫째 주 1,005개(주간 10% 증가)였다.
인터넷응급센터가 중국 3개 유·무선 통신 서비스업체들에 통보한 정보보안 취약점 관련 사건은 11월 마지막 주 4건, 넷째 주 3건, 셋째 주 4건, 둘째 주 0건, 첫째 주 1건으로 집계됐다. 센터가 은행, 증권, 보험, 에너지 등 중요 분야 기관·기업에 알린 보안 취약점 사건은 11월 마지막 주 26건, 넷째 주 27건, 셋째 주 26건, 둘째 주 28건, 첫째 주 11건에 달했다.
이어 센터가 전국 각 지역의 CNCERT 센터와 협력해 검증·처리한 지방 중요기관과 관련된 보안 취약점 사건은 11월 마지막 주 306건, 넷째 주 179건, 셋째 주 238건, 둘째 주 256건, 첫째 주 130건에 달했다. 또한 센터가 교육 분야 응급기관과 협조해 검증·처리한 대학·연구원 시스템 취약점 사건은 11월 마지막 주 64건, 넷째 주 66건, 셋째 주 141건, 둘째 주 60건, 첫째 주 17건이었다.
센터가 국가 상급 정보보안 협조 기관에 보고한 각 정부 부처 및 위원회의 홈페이지와 부설 웹사이트 또는 직속 기관의 정보시스템 내 취약점 사건은 11월 마지막 주 24건, 넷째 주 20건, 셋째 주 32건, 둘째 주 19건, 첫째 주 9건이었다.
애플리케이션 프로그램 부문에 정보보안 취약점 가장 많아
인터넷응급센터가 최종 등록한 정보보안 취약점들을 영향 대상에 따라 나눠 보면, 11월 마지막 주(전체 등록 취약점 213개)는 애플리케이션 프로그램 부문 취약점이 162개(점유율 76%)로 가장 많았다. 운영체제 20개(9%), 웹 애플리케이션 취약점 16개(8%), 네트워크 장비 11개(5%), 데이터베이스 부문이 4개(2%)로 뒤를 이었다.
11월 넷째 주(전체 취약점 153개)에는 애플리케이션 부문 취약점이 119개(점유율 78%)였고, 네트워크 장비 18개(12%), 웹 애플리케이션 취약점 11개(7%), 운영체제 4개(2%), 데이터베이스 부문이 1개(1%)로 파악됐다. 셋째 주(전체 취약점 202개)의 경우, 애플리케이션 부문이 109개(점유율 54%), 웹 애플리케이션 55개(27%), 운영체제 27개(13%), 네트워크 장비 8개(4%), 보안제품 2개(1%), 데이터베이스 부문 취약점은 1개(1%)로 집계됐다.
둘째 주(전체 취약점 172개)에는 애플리케이션 부문이 68개(점유율 40%), 운영체제 62개(36%), 네트워크 장비 26개(15%), 웹 애플리케이션 12개(7%), 데이터베이스 부문 취약점은 4개(2%)였다. 첫째 주(전체 취약점 203개)에는 애플리케이션 부문 취약점이 93개로 전체의 46%를 차지했고, 웹 애플리케이션 72개(36%), 네트워크 장비 16개(8%), 운영체제 부문 취약점 15개(7%), 보안제품 7개(3%)로 확인됐다.
▲11월 중 중국 내 정보보안 취약점의 영향 대상에 따른 유형[출처=CNCERT]
11월 中 통신·모바일 인터넷·공업제어시스템 부문별 보안 취약점
인터넷응급센터가 정보보안 취약점을 분야 별로 나눠 조사한 결과, 11월 마지막 주 통신 부문 취약점은 20개(고위험 6개, 중위험 12개, 저위험 2개), 모바일 인터넷 부문 취약점이 9개(고위험 3개, 중위험 6개)로 가장 많았다. 공업제어시스템 부문 취약점은 4개(고위험 4개)로 확인됐다.
11월 넷째 주에는 모바일 인터넷 부문 취약점 11개(고위험 1개, 중위험 9개, 저위험 1개), 통신 부문 9개(고위험 7개, 중위험 2개), 공업제어 부문 1개(고위험 1개) 순으로 많았다. 셋째 주에는 통신 부문 9개(고위험 7개, 중위험 2개), 모바일 인터넷 부문 취약점 4개(고위험 1개, 중위험 3개), 공업제어 부문 2개(중위험 2개)였다. 둘째 주에는 모바일 인터넷 부문이 취약점 55개(고위험 16개, 중위험 38개, 저위험 1개)로 가장 많았고, 공업제어시스템 부문이 3개(중위험 3개), 통신 부문 3개(고위험 1개, 중위험 2개)로 확인됐다. 첫째 주에는 통신 부문 16개(고위험 8개, 중위험 8개), 모바일 인터넷 부문 취약점이 8개(고위험 6개, 중위험 2개), 공업제어시스템 부문 4개(중위험 3개, 저위험 1개)였다.
한편 인터넷응급센터는 최종 등록한 정보보안 취약점 가운데 주요 국내외 업체(제품)의 수량과 비중을 살펴본 결과, 11월 마지막 주 Oracle, Google, Linux, IBM, WordPress, TIBCO, TOTOLINK, Artifex Software, Microsoft 순으로 상위 10위 안에 들었다고 밝혔다. 넷째 주에는 IBM, Foxit, Google, Microsoft, Axis, Dell, perfSONAR, TP-Link, Cisco 등 차례로 보안 취약점 수량이 많았다. 셋째 주에는 Foxit, Apple, IBM, Microsoft, LAOBANCMS, Broadcom, 전장시윈요우네트워크과기유한공사(镇江市云优网络科技有限公司), Nagios, WordPress 순으로 보안 취약점 수량이 많았다.
둘째 주에는 Google(취약점 수량 49개, 점유율 28%), IBM(13개/8%), Apple(12개/7%), YI Technology(12개/7%), Mozilla(8개/5%), Foscam(7개/4%), White Shark System(7개/4%), Apache(4개/2%), Cisco(4개/2%) 순으로 보안 취약점 점유율이 높았다. 첫째 주에는 IBM(취약점 수량 16개, 점유율 8%), Apple(14개/7%), Google(14개/7%), GNU(11개/5%), Foxit(8개/4%), 상하이이수네트워크과기유한회사(上海亿速网络科技有限公司, 8개/4%), 전장시 윈요우네트워크과기유한회사(镇江市云优网络科技有限公司, 6개/3%), Envato Pty Ltd.(5개/2%), Apache(4개/2%), 기타(117개/58%) 등의 보안 취약점 수량이 확인됐다고 센터는 밝혔다.
▲11월 중국 내 보안 취약점이 발견된 일부 제품 관련 업체 분포[자료=CNCERT]
11월 화웨이·샤오미 등 주요 업체 제품 내 보안 취약점 존재
화웨이(Huawei)가 개발해 내놓은 스마트폰 ‘Mate9 Pro’, ‘Nova 2 Plus’에서 지난 달 ‘FRP 우회 취약점(CNVD-2018-23257)’이 확인됐다고 인터넷응급센터는 밝혔다. 공격자는 데이터 케이블을 통해 해당 스마트폰과 다른 스마트폰을 연결시킨 다음, 일련의 특정 조작을 실행한다. 이로써 ‘FRP’를 우회할 수 있다고 센터는 덧붙였다. 화웨이의 또 다른 스마트폰 ‘ALP-AL00B’, ‘BLA-AL00B’에서는 인증우회 취약점(CNVD-2018-22641)이 발견됐다고 센터는 밝혔다. 공격자는 이 취약점을 이용해 부팅 프로그램을 바꿔서 스마트폰에 있는 정보를 획득하고 단말기를 제어할 수 있게 된다.
화웨이가 내놓은 스마트 스포츠 시계 ‘Huawei Watch 2’에는 권한제어 취약점(CNVD-2018-22278)이 있는 것으로 확인됐다. 공격자는 이 시계와 묶여 있는 화웨이 계정을 알고 있는 상태에서 시계상에서 일련의 조작을 통해 권한 검증을 우회하고 특정 조작을 실행하며, 시계 안의 일부 데이터를 수정하게 된다. 화웨이의 IP 전화기 ‘Huawei eSpace 7950’에서는 ‘SRTP로고 표시 취약점’(CNVD-2018-23258)이 발견됐다. 공격자는 비(非)안전 전송 모드에서 중간자 공격 인터셉트 메시지를 게시한다. 또 이 취약점을 성공적으로 이용한 뒤 통화 정보를 획득해 변조시킬 수 있다. 이 때문에 민감한 정보들이 유출된다.
샤오미(Xiaomi)가 출시한 무선 라우터 ‘XiaomiMi Router 3’에서는 명령 주입 취약점(CNVD-2018-24303)이 발견됐다. 공격자는 ‘payload’URL’ 파라미터를 바탕으로 이 취약점을 이용해 임의 시스템 명령을 실행할 수 있다. 샤오미의 기업용 라우터 ‘H3CER2100n’에서도 서비스거부 취약점(CNVD-2018-22111)이 존재하는 것으로 확인됐다. 샤오미의 라우터 제품 ‘HD’와 ‘3C’에서는 코드 실행 취약점(CNVD-2018-21082/20875)이 탐지됐다.
중국 업체들이 개발한 콘텐츠관리시스템(CMS)에서도 여러 보안 취약점들이 탐지됐다. 커롱웨이트전자가 내놓은 콘텐츠관리시스템 ‘CMS v1.7.3’에서는 코드 실행 취약점(CNVD-2018-22131)이 발견됐다. 공격자는 이 취약점을 이용해 웹사이트 서버 제어권을 얻을 수 있게 된다. 또 다른 웹사이트 콘텐츠관리시스템(CMS) ‘PHPCMS 2008’에서는 코드 주입 취약점이 탐지됐다. 공격자는 이 취약점을 이용해 권한 없이 웹사이트 파일에 대해 기입이 가능하다. 항저우 소재 한천과기의 포털 웹사이트 콘텐츠관리 시스템 ‘Hansun CMS’에서는 정보유출 취약점(CNVD-2018-19752)이 발견됐다. 공격자는 이를 악용해 데이터베이스에 연결해서 민감한 정보들을 빼낼 수 있다.
중국 업체들의 라우터 제품에서도 여러 보안 취약점이 발견됐다. 푸롄(TP-LINK)의 기업용 라우터 ‘TP-LinkTL-R600VPN’에는 HTTP Server 버퍼 오버플로우(Buffer Overflow) 취약점(CNVD-2018-23629)이 존재한다고 인터넷응급센터는 밝혔다. 공격자는 특제한 리퀘스트를 발송하고 이 취약점을 이용해 웹 서버 마비를 일으키거나 코드를 실행하게 된다.
요우쉰그룹(D-Link)의 무선 라우터 ‘D-Link DIR-823G’에는 명령 주입 취약점(CNVD-2018-20699)이 있는 것으로 밝혀졌다. 공격자는 이를 통해 임의 코드를 실행할 수 있다. 이 회사의 집중화 무선 관리 S/W인 ‘D-LINK Central Wifi Manager CWM-100’에는 ‘트로이목마 FileSYSTEM 권한 상승 취약점’(CNVD-2018-22944)이 있는 것으로 드러났다. 공격자는 이 취약점을 이용해 ‘D-Link Central WiFiManager CWM-100 1.03 r0098’ 설비에 트로이목마 ‘quserex.dll’를 투입한다.
텅다(Tenda)가 개발한 무선 라우터 제품 ‘Tenda AC7’에서는 ‘httpd 버퍼 오버플로우 취약점’(CNVD-2018-22314)이 탐지됐다. 공격자는 이 취약점을 이용해 서비스거부를 일으킬 수 있다. 루이제네트워크(锐捷网络)가 내놓은 라우터 ‘NBR1300G-E’에서는 명령 실행 취약점(CNVD-2018-22138)이 탐지됐다.
푸스캉(Foscam)의 IP 카메라 ‘Foscam OptiCam i5’에서는 공격자가 설비를 제어할 있는 설계 취약점(CNVD-2018-22816)이 탐지됐다.
마케팅 관련 기업 ‘YUNUCMS’의 웹사이트 구축관리시스템에는 SQL 주입 취약점(CNVD-2018-21955)이 존재하는 것으로 드러났다. 공격자는 이를 이용해 데이터베이스에 있는 민감한 정보들을 빼낼 수 있다.
멍싱샹지의 웹사이트 구축시스템은 ‘PHP+MySQL’ 방식을 채택해 실행되는 오픈소스 기반 시스템으로 ‘SQL 주입 취약점’(CNVD-2018-22135)이 있는 것으로 확인됐다. 공격자는 이 취약점을 이용해 관리자 계정과 비밀번호를 수정할 수 있다. 동시에 이 시스템에서는 파일 업로드 취약점(CNVD-2018-22159)도 탐지됐다. 공격자는 이를 이용해 임의 파일을 업로드하고 웹사이트 서버 제어권을 손에 넣을 수 있게 된다.
[중국 베이징 / 온기홍 특파원(onkihong@yahoo.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
원병철기자 기사보기
[2024-10-31] 
