cisa

미국 CISA, 주초부터 취약점 4개를 긴급 패치 목록에 추가

문가용 기자

문가용 기자

미국 CISA, 주초부터 취약점 4개를 긴급 패치 목록에 추가
Photo by Sigmund / Unsplash
💡
Editor's Pick
- 긴급 패치 필요한 취약점 4개 공개
- 2014년에 발견된, 오래된 취약점 포함
- 실제 사례는 미공개

미국 연방 사이버 보안 전담 기관인 CISA가 월요일부터 네 개의 취약점을 KEV에 추가했다. KEV는 실제 해킹 공격에 노출되어 있는 취약점들을 따로 모아둔 목록으로, 패치 우선순위를 설정할 때 가장 먼저 참고해야 할 자료 중 하나다. 

이번에 추가된 취약점들은 다음과 같다.

1) CVE-2014-3931 : CVSS 기준 9.8점짜리 버퍼 오버플로우 취약점으로, MRLG(멀티라우터 루킹글래스, Multi-Router Looking Glass)에서 발견됐다. 원격 공격자가 메모리 읽기와 쓰기를 할 수 있게 해 준다.

2) CVE-2016-10033 : CVSS 기준 9.8점짜리 명령 주입 취약점으로, PHP메일러(PHPMailer)에서 발견됐다. 공격자가 임의 코드를 실행할수 있게 해 준다. 디도스 공격도 가능하다.

3) CVE-2019-5418 : CVSS 기준 7.5점짜리 경로 조작 취약점으로, 루비온레인스(Ruby on Rails) 내 액션뷰(Action View) 기능에서 발견됐다. 시스템 내 임의의 파일을 공격자가 노출시킬 수 있게 된다.

4) CVE-2019-9621 : CVSS 기준 7.5점짜리 SSRF 취약점으로, 짐브라 콜라보레이션 스위트(Zimbra Collaboration Suite)에서 발견됐다. 공격자가 내부 자원으로 인증 없이 접근할 수 있게 되며, 원격 코드 실행 공격도 가능하다.

현재까지 1~3번 취약점의 실제 공격 사례는 공개되지 않고 있다. 4번의 경우 중국 해킹 조직인 어스루스카(Earth Lusca)가 익스플로잇 한 적 있다고 보안 업체 트렌드마이크로(Trend Micro)가 2023년 9월 공개한 바 있다. 당시 어스루스카는 웹셸과 코발트스트라이크를 심는 데 이 취약점을 악용했다.

Read more

[TE머묾] AI 시대에, 혐오 직업 보유자로 버티기

[TE머묾] AI 시대에, 혐오 직업 보유자로 버티기

💡Editor's Pick - 텍스트로 둘러싸인 더테크엣지 기자의 현장 - 인공지능 덕 좀 보려했지만, 퇴근 시간은 제자리걸음 - 인공지능과의 경쟁에서 기자가 앞서는 건 무엇일까 며칠 어지럼증이 심해졌다. 눈앞이 핑 돈다는 게 뭔지 살면서 처음 경험했다. 그건 비유가 아니었다. 사실에 충실한 표현이었다. 이미 수백 년 전 폐기된 천동설이 아직 살아남아

By 문가용 기자
제프리 엡스타인은 스캔들이 아니라 구조였다

제프리 엡스타인은 스캔들이 아니라 구조였다

💡Editor Pick - 2019년 사건은 개인을 향했고 2026년 문서 공개는 구조를 드러냄 - 국가는 어디까지 네트워크를 활용할 수 있으며, 감시 책임 주제는? - 정보가 소유되고 축적될 때 권력으로 발전 2019년의 사건, 2026년의 문서 공개, 그리고 ‘정보의 민영화’라는 질문 2019년 7월, 뉴욕에서 체포된 제프리 엡스타인(Jeffrey Epstein)은 미성년자 성착취

By Donghwi Shin, Jin Kwak