중국인터넷응급센터 “고위험급 취약점 480여개...애플리케이션 부문 가장 많아”
12월 화웨이·샤오미 등 업체 제품에서 정보보안 취약점 탐지
[보안뉴스 온기홍= 중국 베이징] 중국 ‘국가컴퓨터네트워크 응급기술처리 협조센터(CNCERT, 이하 인터넷응급센터)는 지난해 12월 국가정보보안취약점공유플랫폼(이하 CNVD)을 통해 협력업체(보안업체, 통신서비스업체, 통신기기장비업체)들과 CNCERT 지역 센터, 개인(화이트해커)로부터 접수한 사건형 정보보안 취약점들을 평가해 최종적으로 1,210여개를 확인해 등록했다고 최근 밝혔다.
인터넷응급센터는 △12월 넷째 주(24일~30일) 414개 △셋째 주(17일~23일) 352개 △둘째 주(10일~16일) 198개 △첫째 주(3일~9일) 244개의 정보보안 취약점을 각각 확인해 등록했다.
정보보안 취약점을 위험 수준 등급별로 나눠 보면, 12월 넷째 주에는 취약점 414개 가운데 고위험급 취약점이 166개, 중위험급 219개, 저위험급 29개로 평가됐다. 제로데이(0day) 관련 취약점은 245개로 전체의 59%에 달했다.
셋째 주(전체 취약점 352개)에는 고위험급이 137개, 중위험급 174개, 저위험급 41개였다. 제로데이 취약점은 전체의 69%인 243개였다. 둘째 주(전체 취약점 198개)의 경우 고위험급이 71개, 중위험급 108개, 저위험급 19개였다. 제로데이 취약점은 전체의 15%인 29개였다. 첫째 주(취약점 244개)에는 고위험급 취약점 108개, 중위험급 110개, 저위험급이 26개였으며, 제로데이 취약점은 113개(전체의 46%)로 확인됐다.
인터넷응급센터가 평가한 정보보안 취약점 위협 등급을 보면, 12월 첫째 주부터 넷째 주까지 모두 ‘중간’ 수준이었다.
12월 정부기관·통신·금융·에너지·교육 부문 정보시스템 내 보안취약점 탐지 현황
중국 인터넷응급센터가 CNVD를 통해 접수한 당·정부 기관 및 기업들과 관련된 사건형 보안 취약점을 보면, 12월 넷째 주 1,657개(주간 17% 감소), 셋째 주 1,991개(주간 64% 증가), 둘째 주 1,213개(주간 23% 증가), 첫째 주 987개(주간 12% 증가)였다.
인터넷응급센터가 중국 3개 유무선 통신 서비스업체들에 통보한 정보보안 취약점 관련 사건은 12월 넷째 주 9건, 셋째 주 12건, 둘째 주 3건, 첫째 주 15건으로 집계됐다. 센터가 은행, 증권, 보험, 에너지 등 중요 분야 기관·기업에 알린 보안 취약점 사건은 12월 넷째 주 44건, 셋째 주 37건, 둘째 주 13건, 첫째 주 35건이었다.
이어 센터가 전국 각 지역의 CNCERT 센터와 협력해 검증·처리한 지방 중요 기관과 관련된 보안 취약점 사건은 12월 넷째 주 519건, 셋째 주 265건, 둘째 주 156건, 첫째 주 195건으로 집계됐다. 또한, 센터가 교육 분야 응급기관과 협조해 검증·처리한 대학·연구원 시스템 취약점 사건은 12월 넷째 주 117건, 셋째 주 91건, 둘째 주 88건, 첫째 주 73건에 달했다.
센터가 국가 상급 정보보안 협조 기관에 보고한 각 정부부처 및 위원회의 홈페이지와 부설 웹사이트 또는 직속 기관의 정보시스템 내 취약점 사건은 12월 넷째 주 24건, 셋째 주 22건, 둘째 주 14건, 첫째 주 12건이었다.
‘애플리케이션 프로그램 부문에서 정보보안 취약점 가장 많이 탐지’
인터넷응급센터가 최종 등록한 정보보안 취약점들을 영향 대상에 따라 나눠 보면, 12월 넷째 주(전체 등록 취약점 414개)는 애플리케이션 프로그램 부문 취약점이 201개(점유율 49%)로 가장 많았다. 웹 애플리케이션 취약점 131개(32%), 운영체제 58개(14%), 네트워크 장비 18개(4%), 보안제품 부문이 6개(1%)로 뒤를 이었다.
셋째 주(전체 취약점 352개)에는 그 동안 줄곧 점유율 1위이던 애플리케이션 부문이 142개(점유율 40%)로 웹 애플리케이션(143개, 41%)보다 1개 적었다. 이어 운영체제 29개(8%), 네트워크 장비 28개(8%), 데이터베이스 5개(1%), 보안제품 부문 취약점 5개(1%)로 집계됐다.
둘째 주(전체 취약점 198개)의 경우, 애플리케이션 부문이 140개(점유율 70%), 운영체제 33개(17%), 네트워크 장비 15개(8%), 웹 애플리케이션 7개(3%), 데이터베이스 2개(1%), 보안제품 부문 취약점은 1개(1%)였다. 첫째 주(전체 취약점 244개)에는 애플리케이션 부문이 114개, 웹 애플리케이션 64개, 운영체제 54개, 보안제품 6개, 네트워크 장비 부문 취약점은 6개였다.
12월 통신·모바일 인터넷·공업제어시스템 부문별 보안 취약점 수량
인터넷응급센터가 정보보안 취약점을 분야 별로 나눠 조사한 결과, 12월 넷째 주 모바일 인터넷 부문 취약점이 40개(고위험 17개, 중위험 21개, 저위험 2개)로 가장 많았다. 통신 부문 취약점은 14개(고위험 7개, 중위험 7개), 공업제어시스템 부문 취약점은 3개(고위험 1개, 중위험 2개)로 확인됐다.
셋째 주에는 모바일 인터넷 부문 취약점 40개(고위험 17개, 중위험 20개, 저위험 3개), 통신 부문 14개(고위험 4개, 중위험 7개, 저위험 3개), 공업제어 부문 13개(고위험 5개, 저위험 3개, 저위험 5개) 순으로 많았다.
둘째 주의 경우, 공업제어시스템 부문의 취약점이 27개(고위험 13개, 중위험 13개, 저위험 1개)로 가장 많았고, 모바일 인터넷 부문 8개(고위험 1개, 중위험 7개), 통신 부문 2개(고위험 1개, 저위험 1개)로 확인됐다. 첫째 주에는 모바일 인터넷 부문 취약점이 26개(고위험 13개, 중위험 13개), 통신 부문 5개(고위험 1개, 중위험 3개, 저위험 1개), 공업제어시스템 부문 3개(고위험 2개, 중위험 1개)였다.
한편, 인터넷응급센터는 최종 등록한 정보보안 취약점 가운데 주요 국내외 업체(제품)의 수량과 비중을 살펴본 결과, 12월 첫째 주에는 IBM(취약점 수량 38개, 점유율 16%), Apple(29개, 12%), Linux((23개, 9%), Foxit(7개, 3%), HDCMS(4개, 2%), Qualcomm)4개, 2%), LaySNS(3개, 1%), Ricoh(3개, 1%), YCCMS(3개, 1%), 기타(130개, 53%) 순으로 많았다고 밝혔다
中 기업·웹사이트의 정보시스템·SW·HW에서 보안 취약점 탐지
인터넷응급센터는 12월 넷째 주에 상하이 하톈정보시스템공정, 용요우네트워크과기, 베이징 이웨이윈 데이터과기, 난징 제55소기술개발, 우한 다멍데이터베이스, 중국전자과기그룹 제55연구소, ZZZCMS, HisiPHP, PHPMyWind, Faad2, ZZCMS, TPTCMS, 라오반 CMS, 이베이 CMS 등 34곳 회사·기관의 정보시스템 또는 SW·HW에서 보안취약점이 발견됐다고 밝혔다.
셋째 주에는 지난 카오위앤정보과기, 즈스SW(베이징), Elefant CMS, HuCart, EARCLINK, Zzzcms, ZZCMS, ITKEE 등 25곳에 달하는 웹사이트와 업체의 SW 제품에서 보안 취약점이 탐지됐다고 센터는 밝혔다. 둘째 주에는 ThinkCMF, ZZZCMS, YFCMF, twothink, zzcms, EARCLINK, Seacms, Busybox, ianmi, Adobe, 라오반 CMS, 페이페이 잉스다오항시스템(FeiFeiCms), 중국의약보건품수출입상회 등 38곳의 업체와 웹사이트의 SW 또는 정보 시스템에서 보안 취약점이 확인됐다.
첫째 주에는 상하이 이쑤네트워크과기, 진샨S/W(kingsonft), 장쑤 궈타이신뎬SW, 베이징 롄타동리 정보과기, YCCMS, HuCart, PHPMyWind, NEO, HuCart 등 51곳의 기업·웹사이트가 가진 정보시스템 또는 S/W에서 보안 취약점이 발견됐다고 센터는 밝혔다.
“12월 화웨이·샤오미 등 주요 업체 제품 내 보안 취약점 존재”
중국 화웨이(Huawei)의 모바일 애플리케이션 서비스 ‘HuaweiVIP App’에서 12월 중 정보 유출 취약점(CNVD-2018-24471)이 있는 것으로 확인됐다고 인터넷응급센터는 밝혔다. 공격자는 암호 해독을 통해 사용자의 정보를 빼낼 수 있게 된다.
샤오미(Xiaomi)의 무선 라우터 제품 ‘Xiaomi Mi Router 3’에서는 명령 주입 취약점(CNVD-2018-24496)이 발견됐다고 센터는 밝혔다. 공격자는 ‘timeout’ URL 파라미터를 바탕으로 이 취약점을 이용해 시스템 명령을 실행하게 된다.
이어 중국 여러 업체들의 제품에서 ‘코드 실행 취약점’이 탐지됐다. 컴퓨터 관련 기기·부품업체인 지쟈과기(GIGABYTE Technology)의 제품 ‘GIGABYTE APP Center’에서는 임의 코드 실행 취약점(CNVD-2018-26460)이 발견됐다고 인터넷응급센터는 밝혔다. 외부 공격자는 이 취약점을 이용해 권한 상승을 진행하게 된다.
하얼빈 웨이청과기가 개발한 ‘PHP+MySQL’ 기반의 W3C 표준에 부합하는 웹사이트 구축 시스템 ‘OURPHP’(버전 V1.8.3)의 백그라운드에서는 코드 실행 취약점(CNVD-2018-23350, CNVD-2018-23374)이 잇달아 탐지됐다. 공격자는 이를 이용해 웹사이트 서버 제어권을 손에 넣게 된다.
상하이 딩샹정보과기가 개발한 오픈소스 PHP 프레임 ‘Think PHP 5’에서도 원격 코드 실행 취약점(CNVD-2018-24942)이 발견됐다. 공격자는 이 취약점을 이용해 특정 웹사이트를 대상으로 원격 명령 실행 공격을 벌인다.
춘졔공작실이 PHP7 기술을 써서 개발한 콘텐츠관리 프로그램 ‘PHP 7 CMS’에도 코드 실행 취약점(CNVD-2018-23367)이 존재했다. 신속 웹사이트 구축 시스템 ‘Ctcms’의 백그라운드에서도 공격자가 ‘exp’ 파일을 업로드하고 명령을 실행하며 서버 권한을 얻을 수 있는 코드 실행 취약점(CNVD-2018-23371)이 있는 것으로 확인됐다.
또한, 중국 업체들이 개발한 소프트웨어에서 ‘SQL 주입 취약점’도 잇달아 탐지됐다. 우시 콰웨이과기(无锡夸微科技)개 내놓은 창고 관리 시스템과 통관물류세무 관리 시스템에서 SQL 주입 취약점(CNVD-2018-24731)이 발견됐다. 공격자는 이 취약점을 이용해 데이터베이스 내 민감한 정보를 빼낼 수 있다.
PHP와 MySQL를 바탕으로 한 콘텐츠관리 시스템(CMS)인 ‘S-CMS’에서도 SQL 주입 취약점(CNVD-2018-26678)이 탐지됐다고 센터는 밝혔다. 공격자는 ‘js/pic.php’ 파일에 ‘P_id’ 파라미터를 발송하고 이 취약점을 이용해 SQL 명령을 실행할 수 있다.
전문 마케팅 기업 웹사이트 구축시스템인 ‘윈요우 CMS 기업 웹사이트 관리시스템’(YUNUCMS)의 ‘V***.php’ 파일에서도 공격자가 데이터베이스 내 정보를 훔칠 수 있는 SQL 주입 취약점(CNVD-2018-24730)이 있는 것으로 확인됐다고 센터는 밝혔다.
이와 함께 ‘OneThink’ 오픈소스 프레임 기반의 웹사이트 관리 시스템 ‘샤오빙 CMS’의 ‘Th***.php’ 파일에는 해커가 DB내 정보를 빼낼 수 있는 SQL 주입 취약점(CNVD-2018-24820)이 있는 것으로 확인됐다고 센터는 밝혔다. 치천과기(淇晨科技)가 내놓은 기업용 웹사이트 구축 시스템에서도 SQL 주입 취약점(CNVD-2018-24679)이, 오픈소스 웹사이트 구축 시스템 ‘라오반 CMS’에서도 SQL 주입 취약점(CNVD-2018-23373)이 각각 탐지됐다.
이밖에 중국 푸신(Foxit)S/W가 공급하는 PDF 개발 툴 패키지 ‘FoxitQuick PDF Library’에서는 ‘스택 버퍼 오버플로우’(Stack Buffer Overflow) 취약점(CNVD-2018-26510)이 존재했다. 공격자는 이를 악용해 임의 코드를 실행하거나 서비스 거부를 일으킨다. 라우터 제품 ‘TRENDnetTEW-632BRP’에서는 ‘버퍼 오버플로우’(Buffer Overflow) 취약점(CNVD-2018-25695)이 확인됐다.
광저우시 소재 지우안지능기술이 내놓은 영상감시 시스템에서는 여러 취약점(CNVD-2018-25871)이 발견됐다고 센터는 밝혔다. 공격자는 이 취약점을 이용해 로그인하지 않고도 실시간 영상감시 캡처화면을 조회하고, 직접 시스템 루트(root) 권한을 얻을 수 있다.
[중국 베이징/온기홍 특파원(onkihong@yahoo.com)]
12월 화웨이·샤오미 등 업체 제품에서 정보보안 취약점 탐지
[보안뉴스 온기홍= 중국 베이징] 중국 ‘국가컴퓨터네트워크 응급기술처리 협조센터(CNCERT, 이하 인터넷응급센터)는 지난해 12월 국가정보보안취약점공유플랫폼(이하 CNVD)을 통해 협력업체(보안업체, 통신서비스업체, 통신기기장비업체)들과 CNCERT 지역 센터, 개인(화이트해커)로부터 접수한 사건형 정보보안 취약점들을 평가해 최종적으로 1,210여개를 확인해 등록했다고 최근 밝혔다.
[이미지=iclickart]
인터넷응급센터는 △12월 넷째 주(24일~30일) 414개 △셋째 주(17일~23일) 352개 △둘째 주(10일~16일) 198개 △첫째 주(3일~9일) 244개의 정보보안 취약점을 각각 확인해 등록했다.
정보보안 취약점을 위험 수준 등급별로 나눠 보면, 12월 넷째 주에는 취약점 414개 가운데 고위험급 취약점이 166개, 중위험급 219개, 저위험급 29개로 평가됐다. 제로데이(0day) 관련 취약점은 245개로 전체의 59%에 달했다.
셋째 주(전체 취약점 352개)에는 고위험급이 137개, 중위험급 174개, 저위험급 41개였다. 제로데이 취약점은 전체의 69%인 243개였다. 둘째 주(전체 취약점 198개)의 경우 고위험급이 71개, 중위험급 108개, 저위험급 19개였다. 제로데이 취약점은 전체의 15%인 29개였다. 첫째 주(취약점 244개)에는 고위험급 취약점 108개, 중위험급 110개, 저위험급이 26개였으며, 제로데이 취약점은 113개(전체의 46%)로 확인됐다.
인터넷응급센터가 평가한 정보보안 취약점 위협 등급을 보면, 12월 첫째 주부터 넷째 주까지 모두 ‘중간’ 수준이었다.
▲2018년 12월 중국 인터넷응급센터가 공식 확인해 등록한 중국 내 정보보안 취약점 수량[자료=CNCERT]
12월 정부기관·통신·금융·에너지·교육 부문 정보시스템 내 보안취약점 탐지 현황
중국 인터넷응급센터가 CNVD를 통해 접수한 당·정부 기관 및 기업들과 관련된 사건형 보안 취약점을 보면, 12월 넷째 주 1,657개(주간 17% 감소), 셋째 주 1,991개(주간 64% 증가), 둘째 주 1,213개(주간 23% 증가), 첫째 주 987개(주간 12% 증가)였다.
인터넷응급센터가 중국 3개 유무선 통신 서비스업체들에 통보한 정보보안 취약점 관련 사건은 12월 넷째 주 9건, 셋째 주 12건, 둘째 주 3건, 첫째 주 15건으로 집계됐다. 센터가 은행, 증권, 보험, 에너지 등 중요 분야 기관·기업에 알린 보안 취약점 사건은 12월 넷째 주 44건, 셋째 주 37건, 둘째 주 13건, 첫째 주 35건이었다.
이어 센터가 전국 각 지역의 CNCERT 센터와 협력해 검증·처리한 지방 중요 기관과 관련된 보안 취약점 사건은 12월 넷째 주 519건, 셋째 주 265건, 둘째 주 156건, 첫째 주 195건으로 집계됐다. 또한, 센터가 교육 분야 응급기관과 협조해 검증·처리한 대학·연구원 시스템 취약점 사건은 12월 넷째 주 117건, 셋째 주 91건, 둘째 주 88건, 첫째 주 73건에 달했다.
센터가 국가 상급 정보보안 협조 기관에 보고한 각 정부부처 및 위원회의 홈페이지와 부설 웹사이트 또는 직속 기관의 정보시스템 내 취약점 사건은 12월 넷째 주 24건, 셋째 주 22건, 둘째 주 14건, 첫째 주 12건이었다.
‘애플리케이션 프로그램 부문에서 정보보안 취약점 가장 많이 탐지’
인터넷응급센터가 최종 등록한 정보보안 취약점들을 영향 대상에 따라 나눠 보면, 12월 넷째 주(전체 등록 취약점 414개)는 애플리케이션 프로그램 부문 취약점이 201개(점유율 49%)로 가장 많았다. 웹 애플리케이션 취약점 131개(32%), 운영체제 58개(14%), 네트워크 장비 18개(4%), 보안제품 부문이 6개(1%)로 뒤를 이었다.
셋째 주(전체 취약점 352개)에는 그 동안 줄곧 점유율 1위이던 애플리케이션 부문이 142개(점유율 40%)로 웹 애플리케이션(143개, 41%)보다 1개 적었다. 이어 운영체제 29개(8%), 네트워크 장비 28개(8%), 데이터베이스 5개(1%), 보안제품 부문 취약점 5개(1%)로 집계됐다.
둘째 주(전체 취약점 198개)의 경우, 애플리케이션 부문이 140개(점유율 70%), 운영체제 33개(17%), 네트워크 장비 15개(8%), 웹 애플리케이션 7개(3%), 데이터베이스 2개(1%), 보안제품 부문 취약점은 1개(1%)였다. 첫째 주(전체 취약점 244개)에는 애플리케이션 부문이 114개, 웹 애플리케이션 64개, 운영체제 54개, 보안제품 6개, 네트워크 장비 부문 취약점은 6개였다.
▲12월 중 중국 내 정보보안 취약점의 영향 대상에 따른 유형[자료=CNCERT]
12월 통신·모바일 인터넷·공업제어시스템 부문별 보안 취약점 수량
인터넷응급센터가 정보보안 취약점을 분야 별로 나눠 조사한 결과, 12월 넷째 주 모바일 인터넷 부문 취약점이 40개(고위험 17개, 중위험 21개, 저위험 2개)로 가장 많았다. 통신 부문 취약점은 14개(고위험 7개, 중위험 7개), 공업제어시스템 부문 취약점은 3개(고위험 1개, 중위험 2개)로 확인됐다.
셋째 주에는 모바일 인터넷 부문 취약점 40개(고위험 17개, 중위험 20개, 저위험 3개), 통신 부문 14개(고위험 4개, 중위험 7개, 저위험 3개), 공업제어 부문 13개(고위험 5개, 저위험 3개, 저위험 5개) 순으로 많았다.
둘째 주의 경우, 공업제어시스템 부문의 취약점이 27개(고위험 13개, 중위험 13개, 저위험 1개)로 가장 많았고, 모바일 인터넷 부문 8개(고위험 1개, 중위험 7개), 통신 부문 2개(고위험 1개, 저위험 1개)로 확인됐다. 첫째 주에는 모바일 인터넷 부문 취약점이 26개(고위험 13개, 중위험 13개), 통신 부문 5개(고위험 1개, 중위험 3개, 저위험 1개), 공업제어시스템 부문 3개(고위험 2개, 중위험 1개)였다.
한편, 인터넷응급센터는 최종 등록한 정보보안 취약점 가운데 주요 국내외 업체(제품)의 수량과 비중을 살펴본 결과, 12월 첫째 주에는 IBM(취약점 수량 38개, 점유율 16%), Apple(29개, 12%), Linux((23개, 9%), Foxit(7개, 3%), HDCMS(4개, 2%), Qualcomm)4개, 2%), LaySNS(3개, 1%), Ricoh(3개, 1%), YCCMS(3개, 1%), 기타(130개, 53%) 순으로 많았다고 밝혔다
▲12월 중국 내 보안 취약점이 발견된 일부 제품 관련 업체 분포[자료=CNCERT]
中 기업·웹사이트의 정보시스템·SW·HW에서 보안 취약점 탐지
인터넷응급센터는 12월 넷째 주에 상하이 하톈정보시스템공정, 용요우네트워크과기, 베이징 이웨이윈 데이터과기, 난징 제55소기술개발, 우한 다멍데이터베이스, 중국전자과기그룹 제55연구소, ZZZCMS, HisiPHP, PHPMyWind, Faad2, ZZCMS, TPTCMS, 라오반 CMS, 이베이 CMS 등 34곳 회사·기관의 정보시스템 또는 SW·HW에서 보안취약점이 발견됐다고 밝혔다.
셋째 주에는 지난 카오위앤정보과기, 즈스SW(베이징), Elefant CMS, HuCart, EARCLINK, Zzzcms, ZZCMS, ITKEE 등 25곳에 달하는 웹사이트와 업체의 SW 제품에서 보안 취약점이 탐지됐다고 센터는 밝혔다. 둘째 주에는 ThinkCMF, ZZZCMS, YFCMF, twothink, zzcms, EARCLINK, Seacms, Busybox, ianmi, Adobe, 라오반 CMS, 페이페이 잉스다오항시스템(FeiFeiCms), 중국의약보건품수출입상회 등 38곳의 업체와 웹사이트의 SW 또는 정보 시스템에서 보안 취약점이 확인됐다.
첫째 주에는 상하이 이쑤네트워크과기, 진샨S/W(kingsonft), 장쑤 궈타이신뎬SW, 베이징 롄타동리 정보과기, YCCMS, HuCart, PHPMyWind, NEO, HuCart 등 51곳의 기업·웹사이트가 가진 정보시스템 또는 S/W에서 보안 취약점이 발견됐다고 센터는 밝혔다.
“12월 화웨이·샤오미 등 주요 업체 제품 내 보안 취약점 존재”
중국 화웨이(Huawei)의 모바일 애플리케이션 서비스 ‘HuaweiVIP App’에서 12월 중 정보 유출 취약점(CNVD-2018-24471)이 있는 것으로 확인됐다고 인터넷응급센터는 밝혔다. 공격자는 암호 해독을 통해 사용자의 정보를 빼낼 수 있게 된다.
샤오미(Xiaomi)의 무선 라우터 제품 ‘Xiaomi Mi Router 3’에서는 명령 주입 취약점(CNVD-2018-24496)이 발견됐다고 센터는 밝혔다. 공격자는 ‘timeout’ URL 파라미터를 바탕으로 이 취약점을 이용해 시스템 명령을 실행하게 된다.
이어 중국 여러 업체들의 제품에서 ‘코드 실행 취약점’이 탐지됐다. 컴퓨터 관련 기기·부품업체인 지쟈과기(GIGABYTE Technology)의 제품 ‘GIGABYTE APP Center’에서는 임의 코드 실행 취약점(CNVD-2018-26460)이 발견됐다고 인터넷응급센터는 밝혔다. 외부 공격자는 이 취약점을 이용해 권한 상승을 진행하게 된다.
하얼빈 웨이청과기가 개발한 ‘PHP+MySQL’ 기반의 W3C 표준에 부합하는 웹사이트 구축 시스템 ‘OURPHP’(버전 V1.8.3)의 백그라운드에서는 코드 실행 취약점(CNVD-2018-23350, CNVD-2018-23374)이 잇달아 탐지됐다. 공격자는 이를 이용해 웹사이트 서버 제어권을 손에 넣게 된다.
상하이 딩샹정보과기가 개발한 오픈소스 PHP 프레임 ‘Think PHP 5’에서도 원격 코드 실행 취약점(CNVD-2018-24942)이 발견됐다. 공격자는 이 취약점을 이용해 특정 웹사이트를 대상으로 원격 명령 실행 공격을 벌인다.
춘졔공작실이 PHP7 기술을 써서 개발한 콘텐츠관리 프로그램 ‘PHP 7 CMS’에도 코드 실행 취약점(CNVD-2018-23367)이 존재했다. 신속 웹사이트 구축 시스템 ‘Ctcms’의 백그라운드에서도 공격자가 ‘exp’ 파일을 업로드하고 명령을 실행하며 서버 권한을 얻을 수 있는 코드 실행 취약점(CNVD-2018-23371)이 있는 것으로 확인됐다.
또한, 중국 업체들이 개발한 소프트웨어에서 ‘SQL 주입 취약점’도 잇달아 탐지됐다. 우시 콰웨이과기(无锡夸微科技)개 내놓은 창고 관리 시스템과 통관물류세무 관리 시스템에서 SQL 주입 취약점(CNVD-2018-24731)이 발견됐다. 공격자는 이 취약점을 이용해 데이터베이스 내 민감한 정보를 빼낼 수 있다.
PHP와 MySQL를 바탕으로 한 콘텐츠관리 시스템(CMS)인 ‘S-CMS’에서도 SQL 주입 취약점(CNVD-2018-26678)이 탐지됐다고 센터는 밝혔다. 공격자는 ‘js/pic.php’ 파일에 ‘P_id’ 파라미터를 발송하고 이 취약점을 이용해 SQL 명령을 실행할 수 있다.
전문 마케팅 기업 웹사이트 구축시스템인 ‘윈요우 CMS 기업 웹사이트 관리시스템’(YUNUCMS)의 ‘V***.php’ 파일에서도 공격자가 데이터베이스 내 정보를 훔칠 수 있는 SQL 주입 취약점(CNVD-2018-24730)이 있는 것으로 확인됐다고 센터는 밝혔다.
이와 함께 ‘OneThink’ 오픈소스 프레임 기반의 웹사이트 관리 시스템 ‘샤오빙 CMS’의 ‘Th***.php’ 파일에는 해커가 DB내 정보를 빼낼 수 있는 SQL 주입 취약점(CNVD-2018-24820)이 있는 것으로 확인됐다고 센터는 밝혔다. 치천과기(淇晨科技)가 내놓은 기업용 웹사이트 구축 시스템에서도 SQL 주입 취약점(CNVD-2018-24679)이, 오픈소스 웹사이트 구축 시스템 ‘라오반 CMS’에서도 SQL 주입 취약점(CNVD-2018-23373)이 각각 탐지됐다.
이밖에 중국 푸신(Foxit)S/W가 공급하는 PDF 개발 툴 패키지 ‘FoxitQuick PDF Library’에서는 ‘스택 버퍼 오버플로우’(Stack Buffer Overflow) 취약점(CNVD-2018-26510)이 존재했다. 공격자는 이를 악용해 임의 코드를 실행하거나 서비스 거부를 일으킨다. 라우터 제품 ‘TRENDnetTEW-632BRP’에서는 ‘버퍼 오버플로우’(Buffer Overflow) 취약점(CNVD-2018-25695)이 확인됐다.
광저우시 소재 지우안지능기술이 내놓은 영상감시 시스템에서는 여러 취약점(CNVD-2018-25871)이 발견됐다고 센터는 밝혔다. 공격자는 이 취약점을 이용해 로그인하지 않고도 실시간 영상감시 캡처화면을 조회하고, 직접 시스템 루트(root) 권한을 얻을 수 있다.
[중국 베이징/온기홍 특파원(onkihong@yahoo.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
원병철기자 기사보기
[2024-11-18] 
.jpg)
.jpg)
.jpg)
