CVE-2015-0175, CVE-2015-0174, CVE-2015-0113

CVE-2014-6092, CVE-2014-6090

[보안뉴스 문가용] 현지 시각으로 4월 27일, 우리나라 시간으로는 대략 27일에서 28일로 넘어오는 밤 사이에 미국의 National Vulnerability Database을 통해 발표된 취약점들 중 다섯 개입니다.

1. CVE-2015-0175

IBM의 WebSphere Application Server(WAS) 8.5 Liberty Profile 8.5.5.5 이전 버전에서 발견된 취약점으로 authData 요소를 제대로 반영하지 못함으로써 원격에서 인증된 사용자 혹은 원격에서 로그인한 사용자가 등록되지 않은 경로로도 권한을 가질 수 있게 됩니다.

2. CVE-2015-0174

역시 IBM의 WebSphere Application Server 8.5의 8.5.5.5 이전 버전에서 발견된 취약점으로 환경설정 데이터를 올바르게 처리하지 못하는 데서 발생합니다. 원격에서 로그인한 사용자가 등록되지 않은 경로로 민감한 정보에 접근할 수 있도록 합니다.

3. CVE-2015-0113

특정 IBM 제품군의 Jazz 헬프 시스템에서 발견된 취약점으로 공격자가 잘 조작한 요청을 통해 원격으로 JSP 소스 코드를 읽어 들일 수 있게 해줍니다. 이 취약점에 해당하는 제품과 버전은 다음과 같습니다.

- Rational Collaborative Lifecycle Management 4.0버전~5.0.2버전

- Rational Quality Manager 4.0~4.0.7, 5.0~5.0.2

- Rational Requirements Composer 4.0~4.0.7

- Rational DOORS Next Generation 4.0~4.0.7, 5.0~5.0.2

- Rational Engineering Lifecycle Manager 4.0.3~4.0.7, 5.0~5.0.2

- Rational Rhapsody Design Manager 4.0~4.0.7, 5.0~5.0.2

- Rational Software Architect Design Manager 4.0~4.0.7, 5.0~5.0.2

4. CVE-2014-6092

원격에서 DoS 공격을 가능하게 해주는 취약점으로 IBM의 Curam Social Program Management의 5.2 버전에서 발견되었습니다. 더 정확히 말하자면 SP6 EP6, EP26 이전의 6.0 SP2, 6.0.4.6 이전의 6.0.4 버전, 6.0.5.6 이전의 6.0.5 버전입니다. 사용자가 로그인 시도를 반복해서 실수해서 계정이 잠겼을 때 웹 서비스 계정도 같이 잠기게 하는 기능에서 발생하는 취약점으로 로그인 시도를 많은 회수 동안 실패하면 DoS 공격이 시작된다고 합니다.

5. CVE-2014-6090

IBM의 Curam Social Program Management 중 EP6 이전의 5.2 SP6, EP26 이전의 6.0 SP2, 6.0.3.0 iFix8 이전의 6.0.3, 6.0.4.5 iFix10 이전의 6.0.4, 6.0.5.6 이전의 6.0.5 버전에 있는 CSRF 취약점으로 1) DataMappingEditorCommands, 2) DatastoreEditorCommands, 3) IEGE야색Commands 서브렛에 존재합니다. 원격의 공격자가 사용자의 권한을 하이재킹하는 걸 가능하게 해줍니다.

@DARKReading

[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>