고위험 68개로 크게 늘어...중위험 46개, 제로데이 취약점 8개
약 90개 회사 SW·웹사이트에 보안취약점 존재

[보안뉴스 온기홍=중국 베이징] 중국 정부 산하 ‘국가컴퓨터네트워크 응급기술처리 협조센터(CNCERT, 이하 국가인터넷응급센터)는 3월 7일~13일 자국에서 정보보안 취약점 119개를 최종 등록했다고 15일 발표했다.

국가인터넷응급센터는 이 기간 국가정보보안취약점공유플랫폼(이하 CNVD)을 통해 보안업체들이 중심이 된 7개 회원사들과 협력사, 개인(화이트해커) 등으로부터 1,214개의 사건형 취약점 보고를 접수했다. 센터가 최종 등록한 취약점 수량은 한 주 전에 비해 17개 많았다.
센터는 지난 주 중국의 정보보안 취약점 위협에 대한 종합적인 평가 등급은 ‘높음’이었다고 밝혔다.

이들 가운데 ‘고위험’급 취약점은 68개로 한 주 전보다 38개 늘었다. ‘중위험’ 취약점은 46개, ‘저위험’ 취약점은 5개였다. 전체 취약점 가운데 제로 데이(0day) 관련 취약점은 8개로 전체의 7%를 차지했다. 지난 주 당∙정부 기관, 기업들과 관련된 사건형 보안 취약점 수량은 총 1,214개로 한 주 전(1,945개)에 비해 38% 감소했다.

센터는 Apache Jetspeed과 ISC BIND등이 광범위하게 응용한 윕(WEB), 도메인 네임 시스템(DNS) SW에 ‘고위험’ 취약점이 존재한 것으로 드러났다고 밝혔다. 이들 취약점은 DNS 및 대량의 웹 서버에 서비스 거부 또는 원격제어 등의 보안 위험을 일으킬 수 있다고 센터는 설명했다.

약 90개 회사 SW 제품 또는 웹사이트 시스템에 보안취약점 존재
국가인터넷응급센터는 3월 7일~13일 유무선 통신 서비스업체에 보안 취약점 사건 59건을 통보했다고 밝혔다. 은행, 증권, 보험, 에너지 등 중요 분야 기업∙기관에 통보한 취약점 사건은 50건으로 9건 늘었다. 이어 센터는 전국 각 지역의 CNCERT 센터와 협력해, 지방 중요 기관과 관련된 보안 취약점 사건 660건(112건 증가)을 검증해 처리했다고 밝혔다.

센터는 또 중국 교육∙과학연구 컴퓨터망인 CERNET의 운영과 관리를 맡고 있는 사이얼네트워크회사 및 상하이교통대학 네트워크정보센터 등 교육 분야 기관들과 협력해 고등교육 기관 및 연구소 시스템의 보안 취약점 사건 109건(5건 증가)을 검증해 처리했다고 덧붙였다. 이와 함께 국가급 정보보안 협조기관에 각 정부 부처 및 위원회의 홈페이지와 부설 웹사이트 또는 직속 기관의 정보시스템 내 취약점 사건 31건(4건 감소)을 보고했다.

이런 가운데 센터는 진샨SW(킹소프트), 광저우상타오정보과기, 중국철도건설, 산동궈즈S/W, 동방항공미디어, 항저우바이두의약정보자문, 난징통다하이정보과기, 중국교통수출입총회사, 베이징용여우정무SW, 중국임업과학연구원 열대임업연구소, Aruba Networks, 우시중타이데이터통신, 중국항톈(항공우주) 과기그룹, 중국선박공업그룹, 다롄(대련)국제공항그룹, 베이다(베이징대학)팡정 전자과기, 상하이 아이캉 정보기술, 중국철로통신신호주식회사, 중국건업, 중국환경보호산업협회, 기계교육출판, 전국아동복리정보관리시스템, 중국농업과학원 농업정보연구소, 중국환경과학학회, 중국항구 사이트, 중화 공업제어 사이트를 비롯해 약 90개 회사와 기관의 정보 시스템 또는 SW 제품에서 보안 취약점을 발견해 해당 기업과 기관에 통보했다고 밝혔다.


정보보안 취약점이 영향을 끼친 대상에 따른 유형
국가인터넷응급센터가 공식 등록한 119개의 취약점들을 영향 대상에 따라 나눠 보면, ‘애플리케이션 프로그램 취약점’이 88개(전체의 74% 차지)로 가장 많았다. 이어 운영체제 취약점은 16개(14%), 네트워크 설비 취약점 10개(8%), 웹(Web) 애플리케이션 취약점 4개(3%), 보안제품 취약점이 1개(1%)를 각각 기록했다.

통신 분야 보안취약점 5개·모바일 인터넷 분야 7개, 공업제어 분야 4개
전체 정보보안 취약점을 분야 별로 보면, 통신 분야 관련 취약점은 5개, 모바일 인터넷 분야 7개, 공업 제어 분야 4개로 나타났다. 이 가운데 △HP Network Automation 내 여러 취약점 존재 △HP Network Automation 내 여러 취약점 존재(CNVD-2016-01552) △Google Nexus Bluetooth 컴포넌트 서비스 거부 취약점 △Google Nexus media server 커널 파괴 취약점 메모리 파괴 췽약점 △ISC BIND DNAME 해석 기록 서명 검증 서비스 거부 취약점 △Cisco NX-OS Software 서비스 거부 취약점(CNVD-2016-01460, CNVD-2016-01459) 등은 고위험으로 평가됐다고 센터는 밝혔다. 관련 업체들은 이들 취약점에 대한 패치 프로그램을 내놓았다.


한편, 국가인터넷응급센터가 업체∙제품별로 나눈 취약점 수량과 비중을 보면, Microsoft, Google, Adobe 순으로 많았다.
[중국 베이징 / 온기홍 특파원(onkihong@yahoo.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>