국가인터넷응급센터, “고위험 취약점 65개·중위험 59개”
“애플리케이션 프로그램 취약점 87개·OS 취약점 31개”

[보안뉴스 온기홍=중국 베이징] 중국 정부 산하 ‘국가컴퓨터네트워크 응급기술처리 협조센터(CNCERT, 이하 국가인터넷응급센터)는 12월 둘째 주(12월 7일~13일)에 자국에서 최종 정식 등록된 정보보안 취약점은 128개라고 밝혔다. 이는 한 주 전보다 36개 늘어난 규모다.

국가인터넷응급센터는 지난 7일부터 13일까지 중국 내 정보보안업체들과 SW 업체, 인터넷서비스 업체, CNCERT 지역센터, 개인(화이트해커) 등이 국가정보보안취약점공유플랫폼(이하 CNVD)에 보고한 1,114개에 달하는 사건형 취약점 위주의 보안 취약점들을 종합 평가해 최종적으로 128개를 뽑아 등록했다고 덧붙였다. 이들 가운데 ‘고위험’급 취약점은 65개로 한 주 전보다 3개 늘면서 전체의 절반을 차지했다. ‘중위험’ 취약점은 59개로 32개 증가했고, ‘저위험’ 취약점은 4개였다.

또한, 전체 취약점 가운데 원격 공격 실시에 이용될 수 있는 취약점은 114개로 드러났다고 센터는 밝혔다. 한 주 전에 비해 27개 늘었다. 전체 보안 취약점 가운데 14일 현재 126개 취약점에 대해서는 관련 업체들이 패치 솔루션을 내놓았다고 센터는 밝혔다. 이 가운데 인터넷 상에서 나타난 ‘OpenLDAP 낮은 등급 암호 취약점’ 제로데이 취약점의 경우, 유관 제품을 쓰는 사용자들은 보안을 강화하라고 센터는 당부했다.

中 국가인터넷응급센터 12월 둘째 주 주요 보안 취약점 처리상황
국가인터넷응급센터는 지난 7일부터 13일까지 중국항공부동산주식회사, 완커 그룹, 마이크로소프트 중국법인, 중국푸톈정보산업주식회사, 중량 그룹, 롄샹(Lenovo)그룹, 쉰레이 네트워크기술, 궈롄 신탁, 궈저우 그룹, PHPcms, ROCKOA, 쑤저우신탁, 용여우S/W, 중앙신잉그룹, 완샹신탁, 선전시 션단컴퓨터, 권저우금융정보서비스, 중국항공공업정보센터 금항디지털과기, 지우청(나인시티)네트워크기술그룹, 중쟝 국제신탁, 난징 다한네트워크, 중국철도10국그룹, 중국국제설계예술박람회 웹사이트, 상하이 궈즈문화미디어, 중국철도건설주식회사, 중국건축자재주식회사, 중국우정(우편행정)그룹 정보국, 사회정보채집 플랫폼, 전국외국어등급고시연구센터, 충칭국제전자상무교역인증센터, 중국 구매·입찰 사이트, 중국항공관광 사이트, 중국세무자문사 사이트, 1024 상무 사이트, 중국축구복권 사이트, 현대교육정보 사이트, 베이징황금교역센터 사이트, 중국전원 사이트를 포함한 70여 개 회사와 기관의 S/W 제품 또는 웹사이트 정보시스템에 존재하는 정보 유출, SQL 주입, 취약한 암호, 무단 방문, 임의 파일 업로드·다운로드, 원격 명령 실행 따위의 취약점들을 중점 협조 처리했다고 밝혔다.

공격자들은 이들 취약점을 악용해 사용자의 중요한 정보를 빼내고 권한 없이 무단 방문하며, 임의 파일을 업로드 하거나 임의 코드를 실행한다고 센터는 지적했다.


정보보안 취약점이 영향을 끼친 대상에 따른 유형
국가인터넷응급센터가 공식 등록한 전체 128개의 취약점들을 영향 대상에 따라 나눠 보면, 애플리케이션 프로그램 취약점이 87개(전체의 68% 차지)로 가장 많았다. 한 주 전보다 36개 늘었으며, 가장 높은 점유율을 유지했다.

이어 운영체제 취약점 31개(24%), 웹(Web) 애플리케이션 취약점 5개(4%), 네트워크 설비 취약점 4개(3%), 보안제품 취약점이 1개(1%)를 각각 기록했다.


전체 정보보안 취약점을 분야 별로 살펴 보면, 통신 분야 관련 취약점은 2개로 한 준 전에 비해 8개 감소했다. 모바일 인터넷 분야 취약점은 20개를 기록했다. 공업제어시스템 분야는 1개였다.


이들 정보보안 취약점 가운데 △Android media server 메모리 파괴 취약점 △Android media server 메모리 파괴 취약점(CNVD-2015-08006, CNVD-2015-08005, CNVD-2015-08037) △Android 디스플레이 드라이버 메모리 파괴 취약점(CNVD-2015-08004) △Android 디스플레이 드라이버 메모리 파괴 취약점 △Android System UI 권한 상승 취약점 △Android System Server 정보 유출 취약점(CNVD-2015-08051) △Android Wi-Fi 권한 상승 취약점 △Android Skia 메모리 파괴 취약점 △Android libstagefright 권한 상승 취약점 △Android kernel 권한 상승 취약점은 ‘고위험’이라고 센터는 평가했다. 유관 업체들은 이들 취약점의 패치 프로그램을 발표한 상태다. 한편, 국가인터넷응급센터는 구글, 마이크로소프트, 오토데스크를 비롯한 여러 업체의 제품과 관련된 취약점을 공개했다.
[중국 베이징 / 온기홍 특파원(onkihong@yahoo.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>