‘고위험 취약점 37개, 중위험 115개’...원격 공격 이용 가능 취약점 147개
삼성투자중국법인 등 60개 회사 S/W·웹사이트에 취약점 존재

[보안뉴스 온기홍=중국 베이징] 중국 정부 산하 ‘국가컴퓨터네트워크 응급기술처리 협조센터(CNCERT, 이하 국가인터넷응급센터)는 2월 22일~28일 자국에서 정식 등록된 정보보안 취약점은 160개라고 발표했다.

국가인터넷응급센터는 이 기간 5개 회원사와 협력사, 개인(화이트 해커) 등이 국가정보보안취약점공유플랫폼(이하 CNVD)에 보고한 690개에 달하는 사건형 취약점 위주의 보안 취약점들을 분석∙평가해, 최종적으로 160개를 뽑아 공식 등록했다. 한 주 전에 비해 138개 줄었다.

이들 가운데 ‘고위험’급 취약점은 37개로 한 주 전보다 62개 적었고, ‘중위험’ 취약점은 115개(71개 감소)로 가장 많았다. ‘저위험’ 취약점은 8개였다. 전체 취약점 가운데 원격 공격 실시에 이용될 수 있는 취약점은 147개(104개 감소)개로 확인됐다고 센터는 밝혔다. 이 기간 정보보안 취약점 위협에 대한 전체적인 평가 등급은 ‘낮음’(2월 셋째 주는 ‘중간’)이라고 센터는 덧붙였다.

이 가운데 인터넷 상에 출현한 ‘Graphics Magick 버퍼 오버플로우 취약점’, ‘Enhancesoft osTicket 임의 파일 업로드 취약점’ 등 제로데이 취약점과 관련해 유관 제품 사용자들은 보안에 주의하라고 센터는 당부했다.

60개 회사 S/W 또는 웹사이트 시스템에 보안취약점 존재
국가인터넷응급센터는 2월 22일~28일 중국다탕그룹, JDB(중국)음료, 베이징추이즈디지털과기, 삼성(중국) 투자유한회사, 징룬과기개발, 저쟝대학인터네트워크과기, 중국난샨개발(그룹), 중국건축기술그룹, 샤푸물류, 낙양시칭펑네트워크과기, 선전국인통신, 랑챠오S/W(Inspur), TCL그룹, 베이징윈디지털기술, 셔우라셔우전자상무, 인민위생출판사, 이통지불(etonepay), 중국중신그룹, 통팡웨이스기술, 뤼예제약그룹, 상하이중징과기, 중국제일중형기계그룹, 광저우시용위앤지능과기, UT스다캉(Utstarcom), 진샨S/W(Kingsoft), 베이징화환전자, 선전환치우역량과기그룹, 즈여우(자유)페이위엔국제항공기술서비스(베이징), 베이징중촨정보과기, 푸젠싼위앤통신, 여우쉰전자설비(상하이), 항저우화쓰통신기술, 중국사이버안전연맹, 펑보어스그룹 정보관리센터, 중국재산권교역소, 중국농업과기문헌정보서비스플랫폼, 중국국제공업기술전람회, 중신 사이트, 상치우 인재 사이트, 저쟝인재 사이트, 중국차오예 사이트, 중국써우뱌오(sbiao360) 사이트, 중국소비자 사이트의 S/W 제품 또는 웹사이트 정보시스템에 존재하는 SQL 주입, 취약한 암호, 임의 파일 업로드, 자바(Java) 반시리얼라이제이션, 원격 명령 실행 따위의 취약점들을 협조해 처리했다고 밝혔다.

공격자들은 이들 취약점을 악용해 사용자의 민감한 정보를 훔치는 것을 비롯해, 임의 파일 업로드, 임의코드 실행, 서버 권한 확보 등을 할 수 있다고 센터는 덧붙였다.

정보보안 취약점이 영향을 끼친 대상에 따른 유형
국가인터넷응급센터가 2월 22일~28일 공식 등록한 160개의 취약점들을 영향 대상에 따라 나눠 보면, ‘애플리케이션 프로그램 취약점’이 160개(전체의 71% 차지)로 가장 많았다. 이어 웹(Web) 애플리케이션 취약점은 21개(13%), 네트워크 설비 취약점 13개(8%), 보안제품 취약점 6개(4%), 운영체제 취약점 4개(3%), 데이터베이스 취약점이 2개(1%)를 각각 기록했다.


통신 분야 정보보안취약점 17개
전체 정보보안 취약점을 분야 별로 살펴 보면, 통신 분야 관련 취약점은 17개로 나타났다.
이 중 △PostgreSQL권한 상승 취약점 △ZOHO Manage Engine Network Configuration Manager권한 상승 취약점 △IBM Tivoli Storage Manager Fast Back 스택 버퍼 오버플로우(Stack Buffer Overflow) △Belden Hirschmann Classic Platform switches L2B정보 유출 취약점은 ‘고위험’으로 평가됐다. 관련 업체들은 이들 취약점에 대한 패치 프로그램을 내놓았다.
또한 대만계 네트워크설비 업체 여우쉰(D-Link )의 IP네트워크를 통한 음성·팩스 전달 및 무선인터넷을 공유한 무선 라우터 제품인 ‘D-Link DVG-N5402SP’에서 권한 획득 취약점이 있는 것으로 밝혔다. 공격자들은 이 취약점을 악용해 관리자 제어 권한을 손에 넣을 수 있다. 유관 제품을 쓰는 사람들은 새로운 버전을 사용해야 한다고 센터는 강조했다.

국가인터넷응급센터가 공개한 주요 취약점 보수 정보에 따르면, 중국 스마트폰·통신장비업체인 화웨이(Huawei)의 전략관리센터 SW인 ‘Policy Center’와 스마트폰 모델 ‘Mate S’에서 취약점이 발견됐다. 화웨이 쪽은 이들 제품에 존재한 권한 상승과 정수(integer) 오버플로우 취약점을 보수했다고 센터는 밝혔다. 공격자들은 이들 취약점을 악용해 권한 상승과 임의코드 실행에 나설 수 있다.


한편, 국가인터넷응급센터가 업체·제품 별로 나눈 취약점 수량과 비중을 보면, Cybozu, Cisco, Apache 순으로 많았다.
[중국 베이징 / 온기홍 특파원(onkihong@yahoo.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>