줌(Zoon)의 화상 회의 플랫폼 ‘줌 룸(Zoom Room)’에서 로컬 권한 상승을 통한 기기 제어 등 심각한 문제를 일으킬 수 있는 보안 취약점이 4개 발견됐다. 줌은 취약점 발견 후 패치를 실행했다고 밝혔다.다음은 줌에서 해결한 취약점에 대한 세부 정보다.• CVE-2022-36930(CVSS 점수 8.2): 윈도우 인스톨러용 룸의 로컬 권한 상승이 취약점은 버전 5.13.0 이전의 윈도우용 줌 룸 설치에 영향을 미친다. 권한이 낮은 로컬 사용자는 공격 체인에서 이 취약점을 악용해 자신의 권한을 시스템 사용자에게 양도할 수 있

자체 ‘버그 바운티(Bug Bounty)’ 프로그램을 시행하고 있는 지니언스가 보안 취약점을 제보한 우수 신고자 6명에게 포상금을 지급했다고 밝혔다.버그 바운티는 오류나 오작동을 의미하는 버그(Bug)와 포상금이란 뜻의 바운티(Bounty)가 합해진 용어로, 소프트웨어 또는 웹서비스의 취약점을 찾아낸 사람에게 포상금을 지급하는 제도다. 보안 취약점을 악용한 침해 사고를 사전에 예방함은 물론 화이트 해커 등 차세대 보안 전문가 육성의 토대도 될 수 있다.사이버 위협의 주요 요인인 보안 취약점은 무엇보다 신속하게 발견해 조치하는 것이

가상물리시스템(CPS: Cyber-Physical System) 보안 기업인 클래로티(Claroty)가 발표한 ‘2022 상반기 XIoT 보안 현황 보고서’에 따르면, IoT 기기의 취약성 노출이 2021년 하반기에 비해 56% 증가했다.같은 기간 동안 공급업체가 자체적으로 공개한 취약성은 69% 증가했다. 독립 조사 기관 발표보다 공급 업체의 공개가 더 많이 보고된 것은 이번이 처음이다.전체 또는 부분적으로 수정된 펌웨어 취약성도 79% 증가했다. 펌웨어 패치에서 취약성을 해결하는 것이 최초 소프트웨어 배포보다 상대적으로 어려운

미국 보안 기업 팔로알토네트웍스(팔로알토)의 운영체제인 PAN-OS가 도스(서비스 거부) 공격을 받았다.팔로알토 측에 따르면, 해커는 PAN-OS를 실행하는 장치에서 CVE-2022-0028(CVSS 점수 8.6)로 추적되는 취약점을 악용해 도스 공격을 시도했다.팔로알토는 권고문을 통해 “최근 도스 공격 시도를 받았다는 사실을 알게 됐다. 이번 공격은 여러 공급업체의 취약한 방화벽을 이용했다. 회사는 즉시 문제의 원인을 찾고 해결하고 있다. 이번 문제는 제품 사용에는 큰 영향을 미치지 않는다”라고 발표했다.팔로알토에 따르면, 이번에

다후아 IP 카메라에서 해커가 원격으로 카메라를 제어할 수 있는 보안 취약점(CVE-2022-30563)이 발견됐다.이번 취약점은 노조미 네트웍스 연구팀에 의해 처음 발견했으며 CVSS 점수 7.4를 받았다.해커는 이번 취약점을 통해 다후아 카메라의 ONVIF(Open Network Video Interface Forum) 구현을 조종할 수 있다. ONVIF는 IP 기반 물리적 보안 제품의 효과적인 상호 운용성을 위해 표준화된 인터페이스를 제공한다.노조미 네트웍스는 "다후아가 개발한 일부 IP 카메라에서 발견된 취약점은 해커가 이전

중국에서 제조된 차량용 GPS 추적기 ‘MiCODUS MV720 GPS(Global Positioning System)’에서 다수의 보안 취약점이 발견됐다.CISA에 따르면, MiCODUS MV720 GPS는 정부, 군대, 포춘 1000대 기업 등 중요 기관에 종사하는 약 42만 명이 보유한 150만 대 이상의 차량에 사용되는 추적 장치다. 이번 취약점을 통해 해커는 차량을 원격으로 제어할 수 있는 것으로 알려졌다. 취약점을 통해 해커는 차량에 접근해 글로벌 포지셔닝 시스템 추적기를 제어해 차량 연료 공급, 차량 제어, 차량 위치

수많은 워드프레스(Wordpress) 웹사이트에 영향을 미칠 수 있는 보안 취약점이 워드프레스 플러그인 닌자 폼(Ninja Form)에서 발견됐다.• 워드프레스(Wordpress): 오픈소스 기반의 설치형 블로그 혹은 CMS(콘텐츠 관리 시스템)이다. 워드프레스로 제작된 웹사이트의 시장 점유율이 전세계 웹사이트의 42%가 넘는 것으로 알려진다. • 닌자 폼(Ninja Forms): 워드프레스 플러그인 중 하나로, 대부분의 게시판 형태를 구성할 수 있도록 도와준다. 현대 웹 서비스의 대표적인 유형을 템플릿 형태로 구현했다. 이는 사용

통합 보안 기업 지니언스가 자사 보안 솔루션의 취약점을 발견한 사람에게 포상금을 지급하는 버그 바운티(Bug Bounty) 프로그램을 시행한다.버그 바운티는 제품 및 서비스의 보안 취약점을 신속하게 찾아 점검 및 조치하며 보안 전문가들의 노력에 적절한 보상을 하는 프로그램으로, 보안 취약점을 악용한 침해 사고를 사전에 예방함은 물론 화이트 해커 등 차세대 보안 전문가 육성의 토대도 될 수 있다. 사이버 위협의 주요 요인인 보안 취약점은 무엇보다 신속하게 발견해 조치하는 것이 중요하다. 이에 구글·MS·페이스북 등 주요 글로벌 기업은

구글의 보안 팀 프로젝트 제로가 지난해 11월 원격 화상 회의 서비스 줌에서 발견됐던 두 건의 제로데이 취약점에 대한 상세한 정보를 공개했다. 구글 프로젝트 제로의 나탈리 실바노비치(Natalie Silvanovich) 연구원은 줌 클라이언트와 멀티미디어 라우터(MMR) 서버에서 발견된 이 취약점이 서비스를 중지시키고, 악성코드를 실행하며, 일부 메모리의 정보를 유출시킬 수 있었다고 밝혔다.발견된 두 건의 취약점은 CVSS(공통 취약점 등급 시스템) 점수 9.8점의 CVE-2021-34423 버퍼 오버플로우와 CVSS 점수 7.5점

미국 웹 인프라 및 웹사이트 보안 회사 클라우드 플레어(Cloudflare)는 사이버 공격자가 Log4j 라이브러리에 공개된 CVE-2021-45046으로 추정되는 두 번째 취약점을 악용하고 있다고 경고했다.CVE-2021-45046은 CVSS(Common Vulnerability Scoring System, 공통 취약점 등급 시스템) 점수 3.7을 받았고 Log4j 버전 2.0-beta9 ~ 2.12.1 및 2.13.0 ~ 2.15.0에 영향을 준다.ASF(Apache Software Foundation)는 이미 Log4Shell

스패로우가 오픈소스 라이브러리 '로그4j(log4j)’ 보안 취약점 사태에 대응하기 위해 국내 기업 및 기관을 대상으로 오픈소스 관리를 위한 솔루션 스패로우 SCA(Software Composition Analysis) 기반의 긴급 진단 서비스를 제공한다.최근 심각한 보안 취약점이 발견된 로그4j는 대다수 웹서버에서 광범위하게 사용되고 있는 오픈소스 로깅 라이브러리 소프트웨어다. 애플, 아마존 등 해외 기업뿐만 아니라 웹서버를 사용하고 있는 국내 대부분의 기업 및 기관도 해당 소프트웨어를 사용하고 있어 잠재적인 대형 보안 위협에 노

전 세계 주요 인터넷 서비스에서 널리 사용되는 Log4j 라이브러리에서 컴퓨터가 원격 조종을 당할 수도 있는 심각한 보안 취약점이 발견되었다.소프트웨어 기업 아파치(Apache)의 Log4j는 Java 코딩 과정에서 프로그램 로그를 기록해주는 보조 프로그램으로, 애플 아이클라우드(iCloud) 및 스팀을 비롯한 엔터프라이즈 앱과 클라우드 서비스 모두에서 널리 사용되는 오픈소스 라이브러리다.중국 보안 연구원 p0rz9는 2021년 12월 10일 Log4j에 대한 PoC 악용 코드(CVE-2021-44228)를 공개했으며, log4j2

스패로우는 오픈소스 관리 솔루션인 스패로우 소프트웨어 조합 분석(Software Composition Analysis, SCA) v1.6이 GS인증 1등급을 획득했다고 발표했다.한국정보통신기술협회(TTA)에서 주관하는 소프트웨어 품질 인증 GS(Good Software)는 ISO 국제 표준에 따라 소프트웨어의 기능 적합성, 성능 효율성, 사용성, 신뢰성 등을 종합적으로 평가하고 인증하는 제도다. 인증을 획득한 제품은 공공 기관 사업 발주 시 우선 구매 대상으로 지정된다.이번 1등급을 획득한 스패로우 SCA는 오픈소스 관리를 위한 올

보안 기업 체크포인트 소프트웨어 테크놀로지스(이하 체크포인트)가 마이크로소프트(이하 MS) 윈도우의 서버 버전에서 악용될 수 있는 DNS(Domain Name System) 보안 결함을 발견했다. MS는 해당 취약점을 인정하고 가장 높은 보안 위험성 점수(CVSS 10.0)를 부여해 위험성을 강조했다.DNS란 우리가 사용하는 웹사이트를 ‘컴퓨터가 필요로 하는 일련의 번호’로 해석하기 위한 것으로, 인터넷 이용을 위한 일종의 주소록이라고 할 수 있다. 모든 조직에는 이 같은 서버가 존재하며, 해커가 이를 악용할 경우 기업 IT의 완전

[글=에릭 하이저(Eric Heiser) | 유블럭스 서비스 및 보안 부문 총괄 책임자]사물인터넷(IoT) 애플리케이션이 점점 더 미션 크리티컬한 기능들을 수행하게 되면서 보안이 중요한 이슈로 대두되고 있다. IoT 에코시스템은 다양한 차원에서 보안 위협에 취약할 수 있다. 보안 공격이 계속해서 진화하고 있기 때문에 여기에 신속하게 대처할 수 있는 민첩한 대응 전략이 필요하다. 이를 위해서는 디바이스 제조사들과 에코시스템 개발자들이 단기 및 장기 목표에 충실하게, 확장 가능하면서도 지속 가능한 IoT 보안 전략을 수립해야 한다. ■

[CCTV뉴스=최형주 기자] 한국인터넷진흥원(KISA)이 5G 상용화, 화웨이 사태, 비트코인 급등락 등 다사다난했던 2019년 2분기 보안 이슈들을 다룬 ‘사이버 위협 동향보고서’를 발표했다.먼저 제1장 ‘2분기 사이버 위협 동향’은 언론 보도로 살핀 5Gㆍ비트코인 등에 대한 사이버 위협 동향, 기업별 취약점 동향, 보안기업 보고서 중심의 글로벌 사이버 위협 동향 등의 내용을 담고 있다. 제2장에서는 전문가 칼럼을 수록해 사이버 위협 동향에 대한 이해를 돕고 있다. 대한민국, 전 세계 최초 5G 상용화 국가로 거듭먼저 4월엔 우리

[CCTV뉴스=최진영 기자] 최근 에퀴팩스(Equifax)에서 1억 4300만 명 이상의 대규모 개인신용정보가 유출된 보안침해 사건의 원인이 아파치 스트럿츠 보안 취약점(CVE-2017-5638)으로 드러났다. 이에 블랙덕소프트웨어코리아는 오픈소스 스프트웨어 개발을 지속적으로 해온 국내에서도 데이터 유출사건이 발생할 수 있다고 경고하고 나섰다. 지난 9월 7일 미국의 3대 신용정보기관인 에퀴팩스는 해커들이 올해 5월부터 7월까지 아파치 스트럿츠(Apache Struts)의 보안 취약점을 이용해, 에퀴팩스의 보안망을 뚫

2014년 상반기에 발생된 데이터 유출과 같은 사건들로 인해 조직들은 디지털 정보 보호를 위한 전략적 대안책을 도입해야 할 필요성이 높아 졌다. 이러한 전략에는 지적 자산 및 기업비밀(조직의 가장 중요한 자산)과 같은 기밀 데이터를 보호하는 내용이 포함된다.신용도용범죄정보센터(ITRC)에 따르면 2014년 7월15일까지 100만건 이상의 개인 정보가 유출됐고 정보 유출의 대부분은 기업에서 발생됐다.개인 정보 유출과 데이터 도용이 증가함에 따라 ‘기업들이 위협에 대해 이렇게 취약한 이유가 무엇인가?‘라는 의문이 제기되고 있다. 이러한

래피드7(www.rapid7.com)이 최근 서울 삼성동에 지사 사무실을 오픈하고 자사의 대표적인 보안 솔루션인 ‘래피드7 넥스포즈(Rapid7 Nexpose)’ 및 ‘메타스프로잇(Rapid7 MetaSploit)’을 본격적으로 출시, 한국 시장 공략에 나설 방침이라고 밝혔다.