해외 보안 트렌드

요약

- 피해 사용자들에게 이메일로 알림

- 피해 사실에 대한 자세한 내용은 밝히지 않음

- 월스트리트저널이 과거 아마존이 뇌물의 대가로 사용자 이메일 주소를 유포한 직원들에 대한 조사를 벌이고 있다고 보도한 적이 있음.

- 일각에서는 지난달 제3의 판매자에게 고객 이메일을 공유한데 따라 직원 1명을 해고한 것과 연관된 것일 수도 있다고들 함

- Kolochenko, High-Tech Bridge 웹 보안 회사 CEO 曰 : 데이터 유출 '사고'라고 하기엔 부적절하며, 사실상 부주의로 인한 프로그램 에러로 인해 고객 프로파일의 일부가 불특정 다수에게 노출된 것.

영향성

-기술적 문제에 대해 아마존이 아직 밝히지 않아, 정확한 사건 경위 파악이 힘든 상태. 아마존의 공식적 입장에 이목이 집중되고 있음.

참고자료

출처: https://www.securityweek.com/amazon-exposes-customer-names-email-addresses

<요약>

- 취약점 : VDP에 정보노출 취약점 존재. VDP Java 관리 클라이언트 패키지에 Java관리 콘솔의 SSL/TLS 프라이빗 키가 노출 되어 있을 수 있음.

같은 데이터 링크 계층의 인증되지 않은 공격자가 프라이빗키를 사용해 관리 콘솔 사용자에게 MITM 공격을 가할 수 있음.

- 심각도 : Important

- 취약대상 : VDP 6.1.x  버전, 6.0.x 버전

- 대응방안 : VDP 6.1.x -> 6.1.10. 6.0.x -> 6.0.9 버전으로 패치

<관련 CVE정보>

CVE-2018-11077

PoC현재(2018.11.21 9:30)까지 확인 안됨

<참고자료>

출처 : https://www.vmware.com/security/advisories/VMSA-2018-0029.html

<요약>

- 취약점 : VDP에 존재하는 ‘getlogs’ 문제 해결 유틸리티에 OS 명령어 삽입 취약점 존재. 악의적인 admin 사용자는 루트 권한으로 임의의 명령어 실행 가능

- 심각도 : Important

- 취약대상 : VDP 6.1.x  버전, 6.0.x 버전

- 대응방안 : VDP 6.1.x -> 6.1.9. 6.0.x -> 6.0.9 버전으로 패치

<관련 CVE정보>

CVE-2018-11076

PoC현재(2018.11.21 9:30)까지 확인 안됨

<참고자료>

출처: https://www.vmware.com/security/advisories/VMSA-2018-0029.html

<요약>

- 취약점 : VDP에 Open Redirection 취약점 존재. 인증받지 않은 원격 공격자는 이 취약점을 이용해 어플리케이션 사용자가 악의적으로 꾸며진 링크를 클릭하도록 유도해, 임의의 웹 URL로 리다이렉 할 수 있음.

- 심각도 : Important

- 취약대상 : VDP 6.1.x  버전, 6.0.x 버전

- 대응방안 : VDP 6.1.x -> 6.1.10. 6.0.x -> 6.0.9 버전으로 패치

<관련 CVE정보>

CVE-2018-11067

PoC현재(2018.11.21 9:30)까지 확인 안됨

<참고자료>

출처: https://www.vmware.com/security/advisories/VMSA-2018-0029.html

<요약>

- 취약점 :  VDP에 원격 코드 실행 취약점 존재. 인증받지 않은 원격 공격자는 임의의 코드를 서버에 실행할 수 있음.

- 심각도 : Critical

- 취약대상 : VDP 6.1.x  버전, 6.0.x 버전

- 대응방안 : VDP 6.1.x -> 6.1.10. 6.0.x -> 6.0.9 버전으로 패치

<관련 CVE정보>

CVE-2018-11066

PoC현재(2018.11.21 9:30)까지 확인 안됨

<참고자료>

출처: https://www.vmware.com/security/advisories/VMSA-2018-0029.html

<요약>

- 취약점 : 공격자가 현재 사용자 시스템 임의의 코드를 원격으로 실행할 수 있음.

- 심각도 : Critical

- 우선순위 : 1 (최대한 신속하게 업데이트 할 것)

- 취약대상 : 

Adobe Flash Player Desktop Runtime 31.0.0.148 이하 버전 - Windows, macOS, Linux 

Adobe Flash Player for Google Chrome 31.0.0.148 이하 버전 - Windows, macOS, Linux, and Chrome OS

Adobe Flash Player for Microsoft Edge and Internet Explorer 11 31.0.0.148 이하 버전 - Windows 10 and 8.1

- 대응방안 : 최신 버전으로 업데이트 

Adobe Flash Player Desktop Runtime 31.0.0.153 버전 - Windows, macOS, Linux

Adobe Flash Player for Google Chrome 31.0.0.153 버전 - Windows, macOS, Linux, and Chrome OS

Adobe Flash Player for Microsoft Edge and Internet Explorer 11 버전 - Windows 10 and 8.1

<관련 CVE정보>

CVE-2018-15981

PoC현재(2018.11.21 9:30)까지 확인 안됨

<참고자료>

출처: https://helpx.adobe.com/security/products/flash-player/apsb18-44.html

취약점 최초 발견자 : https://www.ragestorm.net/blogs/?p=421

<요약>

- MS Excel과 Word는 링크와 외부 OLE 객체 등을 사용자가 많이 사용함에 따라 ""오피스 전파 주무대""(Office Dropping Arena)로 여겨짐. 

- MS PowerPoint도 악성코드를 전파하고 실행하는데 사용된 것이 포착됨

- 공격방법 : 실행 가능한 텍스트와 첨부된 문서가 포함된 이메일을 활용

1) 사용자가 악성 파워포인트를 보면 아무것도 없는 빈 페이지로 보임. 하지만 악성 링크가 연결 되어 있어 공격이 시작됨. 

2) 파워포인트의 구조에서 외부 OLE객체가 다운 되는 것을 확인 할 수 있음

악성 외부 객체가 목표 시스템에 다운로드 되고 실행됨. 

감염단계에서 실행된 외부 객체(Javascript)는 새로운 파일이름으로 시스템 임시파일 폴더에 저장됨

3) 추가 악성 코드를 읽고 실행하기 위해 감염 PC의 내부 자산을 사용.

PE 파일의 내부 자산 아래의 이미지를 읽고, 이를 추출하여 실행함.

4) 최종 페이로드는 AzoRult 멀웨어와 유사

<영향성>

- 예전에도 파워포인트 이메일 첨부파일을 활용한 멀웨어 공격이 있었음

- 하지만 MS 오피스 사용자들이 이러한 공격을 잘 알지 못하며 이에 취약함.

<참고자료>

출처: http://www.ehackingnews.com/2018/11/microsoft-powerpoint-susceptible-to.html

취약점 발견자 원문 : https://marcoramilli.blogspot.com/2018/11/microsoft-powerpoint-as-malware-dropper.html

<요약>

- Privacy4Cars는 블루투스 프로토콜을 통한 인포테인먼트(information+entertianment) 해킹인 CarsBlues 공격에 

  많은 차들이 취약하다고 경고

- 공격방법 : 평범하게 쉽게 사용되는 하드웨어와 소프트웨어 만을 가지고 몇 분만에 해킹이 가능

- 취약점 : 휴대전화를 차량과 연동을 한 사용자의 개인정보가 노출될 수 있음. 

수천 만대의 세계 자동차들이 이러한 취약점을 가지고 있으면, 그 수는 더 늘어날 것으로 추정.

- 취약점 발견 : 지난 2월 Privacy4Cars 설립자 Andrea Amico가 자사 앱을 개발하는 도중 발견.

발견 즉시 그는 사이버 보안에 관한 연구와 그 정보를 공유하기 위해 자동차업계가 설립한 

정보공유센터 Automotive Information Sharing and Analysis Center(Auto-ISAC)에게 알림.

취약한 차량 회사들에게 휴대폰이 차량에 연결되어 있지 않은 상태에서 차량 주 혹은 운전자가 알지 못하게 

공격자가 연락처, 전화 통화 내역, 문자 내역, 문자 메시지 전문 등을 어떻게 획득 할 수 있는지 공격 방법 공유함.

- 공격방법 등의 기술적인 문제점은 Auto-ISAC과 논의가 모두 끝난 상태. 

- 현재는 운전자와 제조사를 대상으로 개인정보를 차량 시스템에 남겨두는 것이 얼마나 위험한지에 대한 교육을 하는데 중점을 둠 .

- 최소 제조사 2곳이 CarBlues 취약점에 대한 시스템 업데이트를 포함해 새로운 2019년 모델 출시 한 것으로 알려짐

- 대응방안 : 다른 사람이 자신의 차량을 사용할 일이 있을 때에는 반드시 개인정보 들을 인포테인먼트 시스템에서 지울 것. 

* Privacy4Cars : 모바일 앱회사, 차량에서 개인 식별 정보(Personally identifiable information)을 삭제할 수 있도록 앱을 만드는 회사

*현대모비스는 Auto-ISAC의 멤버임

*Privacy4Cars는 데이터 삭제가 가장 효율적인 예방법이라고 하며 자신의 앱을 무료로 배포한다고 함

<영향성>

- 가장 취약한 사람은 본인의 차량이 아닌 차량에 휴대폰을 연동했던 사람

(렌트 후 차량 반납함, 카 쉐어링 서비스 사용, 중고로 차를 판매 등), 자신의 휴대폰을 연동했던 차량을 임시로 다른 사람이 접근 가능하도록 한 사람.(예, 자동차 딜러 서비스 센터, 수리 센터, P2P 교환, 발렛)

- 취약대상에 매우 넓음. 

<참고자료>

출처: https://www.autorentalnews.com/319499/privacy4cars-discovers-bluetooth-enabled-vehicle-hack

https://www.securityweek.com/new-vehicle-hack-exposes-users%E2%80%99-private-data-bluetooth