지멘스 제품군에서 원격 코드 실행 등 총 16개 취약점 나와

지멘스 시스템의 위부키 솔루션에서 치명적 취약점 한 개

일부는 패치 나오고, 나머지도 개발 중에 있어...일부 포트 차단해야 안전

[보안뉴스 문가용 기자] 지멘스(Siemens)가 다양한 산업 제어 및 유틸리티 제품들에 대한 보안 권고 사항을 총 16개 발표했다. 이 중에는 디지털 저작권 관리 솔루션인 위부키(WibuKey)에서 발견된 치명적인 취약점 한 개에 대한 내용도 포함되어 있다. 이 때문에 영향을 받는 건 SICAM 230이라는 프로세스 통제 시스템이다. SICAM 230은 다양한 ICS 애플리케이션들에서 사용되는 장비로, 에너지, 유틸리티, 스마트 그리드 모니터링 시설에서 널리 활용되고 있다.

SICAM 230의 취약점인 CVE-2018-3991은 CVSS 점수 10점을 받아 ‘치명적’인 위험도를 가진 것으로 분석됐다. 지멘스에 따르면 이 취약점은 22347 포트를 통해 전달되는 조작된 TCP 패킷을 사용해 익스플로잇 가능하며, 힙 오버플로우 상태를 만들고, 이를 통해 원격 코드 실행이 가능하게 된다고 한다.

그 다음으로 높은 점수(CVSS 9.3점)를 기록한 취약점은 CVE-2018-3990이다. 특수하게 조작된 I/O 요청 패킷을 통해 버퍼 오버플로우 상태를 만들 수 있고, 이 때문에 커널 메모리 변형 및 권한 상승 공격을 할 수 있다고 한다. 역시 위부키에서 발견된 취약점이다.

CVE-2018-3991 취약점은 위부키 DRM 6.5 버전 업데이트를 통해 해결이 가능하고, CVE-2018-3990은 외부 방화벽의 22347 포트를 차단함으로써 위험성을 완화시킬 수 있다고 지멘스는 권고했다.

이것 외에도 CVSS 7.5 점을 받은 취약점 세 개도 이번 발표에 포함되었다. 시프로텍(SIPROTEC 5)의 EN100 이더넷 커뮤니케이션 모듈(EN100 Ethernet Communication Module)에서 발견된, DoS 취약점이다.

하나는 장비 내 네트워크 관련 기능에 있는 것으로, CVE-2018-16563이며, 공격 성공 시 장비를 사용할 수 없게 만든다. 두 번째는 CVE-2018-11451이며, 공격자가 특수하게 조작된 패킷을 102/tcp 포트로 전송해 DoS 상태를 만들 수 있다고 한다. 세 번째는 CVE-2018-11452로, 역시 공격자가 102/tcp 포트로 특수하게 조작된 패킷을 전송해 통신 모듈을 DoS 상태로 만들 수 있다.

이 세 가지 DoS 공격이 성립되려면 IEC 61850-MMS 통신이 EN100 모듈 상에서 활성화 되어있어야만 한다. 그러나 이 조건만 갖춰진다면, 사용자의 특정 행위를 유도할 필요가 없어 공격 실현 가능성이 낮다고만은 볼 수 없다.

그 외에도 시프로텍 4의 EN100 이더넷 통신 모듈 및 시프로텍 컴팩트(SIPROTEC Compact)와 레이롤(Reyrolle)의 펌웨어 다운그레이드 취약점(CVE-2018-4838)도 7.5점을 받았다. 이 취약점을 공격하면 인증되지 않은 사용자가 펌웨어를 다운그레이드 해서 다른 취약점을 노릴 수 있게 된다.

그 다음으로는 시마틱(SIMATIC), 시모션(SIMOTION), 시나믹(SINAMIC) 제품군에서도 CVE-2017-12741 취약점이 발견됐다. 원격 공격자들이 특수하게 조작된 패킷을 161 포트로 보내 DoS 공격을 할 수 있게 해준다.

지멘스는 공개된 취약점들 중 일부에 대한 업데이트를 발표한 상태다. 그리고 나머지에 대한 패치도 개발 중에 있다고 한다. 그러면서 CVE-2018-16563 취약점의 경우 패치가 나올 때까지 102/tcp 포트를 차단하는 게 안전하다고 권고했다.

​

SNI 방식의 불법 사이트 https 차단 정책 ‘비판’ 이어져

오픈넷, “정부의 SNI 필드 차단 기술 도입 우려” 성명 발표

[보안뉴스 권 준 기자] 방송통신위원회와 방송통신심의위원회가 SNI 필드 차단 기술을 도입해 https 보안 프로토콜을 이용하는 불법사이트로의 접속을 차단한 가운데 이에 대한 비판의 목소리가 이어지고 있다. 네티즌과 IT 분야 종사자들이 블로그나 SNS 등을 통해 이번 정책에 대한 비판과 조롱의 의견을 수없이 올리고 있는 상황에서 시민단체에서도 이를 우려하는 성명을 발표했다. 오픈넷은 “망사업자를 통한 접속차단 시스템이 이용자들의 통신의 비밀과 자유를 침해할 위험이 있다는 것은 새로운 일이 아니”라면서 “기존의 URL 차단, IP 차단, DNS 차단 기술을 이용한 접속차단 역시 이용자들의 통신 패킷을 읽고 워닝 페이지로 접속되도록 변조하는 방식이었기 때문”이라고 설명했다.

특히, 이번 기술의 도입으로 국가기관의 요청에 따라 망사업자가 관리·통제해야 하는 이용자들의 통신 패킷 영역이 SNI 필드까지 확장됐다는 점에서 더욱 큰 우려를 나타냈다. 보안 목적의 영역인 SNI 필드마저 규제에 이용하고자 관리·통제 권한 아래에 두는 것은 부적절하다는 것이다.

이렇듯 규제를 이유로 이용자의 보안접속을 무력화하는 시도를 지속하면 국가기관 스스로 국민의 인터넷 보안을 취약하게 만드는 결과만 낳게 될 것이라는 게 오픈넷 측의 주장이다.

물론 접속차단이 곧바로 개별 이용자들의 패킷이나 접속기록 내용을 직접 들여다보는 감청으로 이어지는 것은 아니라면서도 이용자의 패킷을 읽고 ‘송·수신을 방해’하는 형식의 감청으로 해석될 여지는 있다는 것.

또한, 불법감청은 아니라고 해도, 이러한 접속차단 제도로 인해 이용자들의 통신 정보에 대한 국가기관과 망사업자의 통제권이 보다 강해지는 것은 분명한 사실이라는 설명이다. 자신의 통신 정보가 누군가에 의해 쉽게 통제되거나 노출될 수 있다는 가능성만으로 인터넷 이용자의 자유는 크게 위축될 수밖에 없다는 얘기다.

오픈넷 측은 “현재 대부분의 차단 대상 사이트가 성인사이트라는 점 때문에 음란물 규제 찬반 양상으로 논의가 흘러가는 듯이 보이나, 접속차단 대상은 비단 음란물에 국한되지 않는다”며, “방통심의위는 모든 불법정보 및 불법에 이르지 않는 유해 정보에 대해서도 심의할 수 있는 권한을 가지고 있다”고 설명했다.

예를 들어 저작권 침해 정보가 일부 유통되고 있다는 이유로 ‘포쉐어드’와 같은 파일 공유 사이트를 차단하거나, 외국인 기자가 운영하며 북한의 정보통신기술 현황을 전달하는 ‘노스코리아테크’를 국가보안법 위반 정보로 차단했다가 법원에서 위법 판결을 받은 사례도 있어 악용 가능성이 제기될 수 있다는 설명이다.

또한, 불법정보가 일부 유통되고 있다는 이유로 사이트 전체를 함부로 차단하는 경우도 있다. 사이트 차단은 그 안의 합법적인 정보까지 모두 차단되는 과검열, 과차단으로 이어지고, 이는 이용자들의 표현의 자유, 알 권리를 침해할 수 있다는 우려도 오픈넷 측은 제기하고 있다. 실제 레진코믹스를 음란 사이트로 보고 차단했다가 이용자들의 항의로 하루 만에 번복한 해프닝도 있었다.

마지막으로 오픈넷 측은 “한국인터넷투명성보고서에 따르면 방통심의위의 접속차단 결정은 한해 평균 15만 건이 이루어지고 있다. 세계에서 유례없는 인터넷 심의 제도로 인해 프리덤 하우스 보고서에서 한국은 인터넷 부분적 자유국으로 분류되고 있다”며, “접속차단 기술의 강화가 달갑지 않은 것은 이렇듯 과도한 심의 제도와 맞물려 인터넷 이용자의 정보 접근권을 침해할 위험도 더욱 높아졌기 때문”이라고 밝혔다. 이어 정부는 인터넷 이용자의 보안과 자유를 위축시킬 수 있는 접속차단 시스템을 재고하고, 광범위한 인터넷 심의 제도를 효율적으로 개선해 나가야 한다고 당부했다. ​ 

참조사이트  
     

 http://www.dailysecu.com

 http://www.boannews.com

 http://www.boan.com

 http://www.dt.co.kr/

 http://www.datanet.co.kr/

 http://www.itdaily.kr

 [패치 및 업데이트]

금일 패치 및 업데이트는 없습니다.

http://www.krcert.or.kr/data/secNoticeList.do

 http://www.microsoft.com/korea/security/default.mspx

 http://www.adobe.com/kr/downloads/updates/

 [최신 바이러스 정보]

Adware/RL.Agent
최초 발견일: 2019-02-14
종    류: 유해가능(애드웨어)
형    태: 실행파일
감염/설치경로: 파일실행, 메일, 다운로드
설   명: Adware/RL.Agent는 사용자의 동의없이 다른 프로그램과 함께 번들로 설치되어 원하지 않는 광고를 보여주거나 특정 도메인에 접속을 유도하는 악성코드이다.

RTF/Malform-C.Gen
최초 발견일: 2019-02-14
종    류: 트로이목마(원격제어), 트로이목마(정보유출)
형    태: 실행파일
감염/설치경로: 파일실행, 메일, 다운로드
설   명:  RTF/Malform-C.Gen는 MS office 문서의 RTF취약점을 이용하여 인증되지 않은 공격자가 원격으로 사용자의 시스템에서 악의적인 행위를 수행할 수 있는 악성코드이다.

Win-Trojan/Gandcrab10.Exp
최초 발견일: 2019-02-14
종    류: 트로이목마
형    태: 실행파일
감염/설치경로: 파일실행, 메일, 다운로드
설   명:  Win-Trojan/Gandcrab10.Exp는 GANDCRAB V5.0.4의 악성파일로 실행 시 파일명에 임의의 확장자를 추가하여 파일들을 암호화한다.

Malware/RL.Generic
최초 발견일: 2019-02-14
종    류: 트로이목마
형    태: 실행파일
감염/설치경로: 파일실행, 메일, 다운로드
설   명: Malware/RL.Generic는 사용자 정보 수집 및 탈취, 공격자로부터의 명령 수행 등의 악의적인 행위 가능성이 존재하는 악성코드이다.

http://www.viruschaser.com 

  http://www.viruslist.com

  http://alyac.altools.co.kr/

  http://www.ahnlab.com/

 ​

​

[보안TIP]

요즘 해커들 사이에서 가장 인기 높은 건, MS 오피스

[보안뉴스 문가용 기자] 사실상 거의 모든 기업에서 사용되고 있는 소프트웨어인 마이크로소프트 오피스가, 최근 사이버 공격자들 사이에서 가장 인기가 높은 ‘연구 대상’이라고 한다. 이 때문에 보안 연구자들도 오피스에 대한 연구를 보다 심도 있게 진행하고 있다. 범죄자들보다 먼저 약한 부분들을 발견하기 위해서다. 보안 업체 아웃플랭크(Outflank)의 스탠 헥트(Stan Hegt)와 피터 실렌(Pieter Ceelen)도 그런 연구자들 중 일부다. 둘은 오피스의 기능을 다양한 방법으로 공격하면서 연구를 진행했는데, 2018년 더비콘(DerbyCon)이라는 행사에서 일부를 시연한 바 있다. 둘은 “대부분 오피스를 통해 원격에서 시스템을 침해하는 방법을 개발하고 있다”며 “원격 접근은 공격자들이 가장 좋아하는 방법이기 때문”이라고 설명했다.

처음에는 오피스 패키지 내에 삽입된 각종 기능들에서 오류를 찾고, 그 오류를 익스플로잇 하는 데에 연구가 집중됐다. 더비콘 이후에도 이 큰 방향은 변하지 않았다. “오피스는 방대한 프로그램으로 연구할 부분이 많습니다. 더비콘을 준비하며 여러 가지 공격 경로를 찾아냈다고 하지만, 사실 ‘더비콘 끝나고 더 파봐야겠다’고 적어놓은 게 더 많을 정도입니다.”

최근 헥트와 실렌은 “사양과 사뭇 다른 점을 두 개 이상 찾아냈다”고 한다. 이 때문에 두 개의 취약점이 파생했고, MS가 최근 패치했다. “하나는 마이크로소프트 워드의 오래된 기능 하나와 관련되어 있습니다. 이를 익스플로잇 하면 디스크 내 어떤 파일이라도 훔칠 수 있게 됩니다. 또 다른 취약점은 템플릿과 헤더를 같이 사용해 매크로 없는 피싱 문서를 만들 수 있게 해주는 겁니다.”

헥트는 “현재 오피스 제품군의 문제는 한 마디로 요약해 ‘기능이 너무 많고, 그중에는 지나치게 오래된 것들도 있다’는 것”이라고 말한다. 역사가 오래된 제품이다 보니 나이테처럼 켜켜이 쌓여온 것들이 일부 곪고 썩기 시작한다는 것. “결국 저희가 최근에만 발견한 취약점 두 개도 오래된 기능을 통해 파일 혹은 크리덴셜을 훔칠 수 있게 해주는 것이었죠.”

그런 연구 경험을 바탕으로 실제 해커들의 오피스 익스플로잇 행태를 보니 “빙산의 일각”이라는 말이 떠오를 수밖에 없었다. 오피스의 기능이 너무 많고, 악용 소지가 지나치게 커서, 익스플로잇 가능성이 풍부하다는 것이다. “다행히 아직까지 그런 가능성을 적극 활용하는 사례는 나타나지 않고 있습니다. 그렇다고 앞날을 장담할 수 있는 건 아니지만요.” 둘은 3월 26~29일 싱가포르에서 열리는 블랙햇 아시아(Black Hat Asia)를 통해 더비콘 이후의 성과를 발표할 예정이다.

한편 MS는 이번 달 패치 튜즈데이(Patch Tuesday)를 통해 마이크로소프트 워드에서 발견된 정보 유출 취약점인 CVE-2019-0561을 해결했다. 이 취약점 역시 헥트와 실렌의 연구를 통해 발견된 것이라고 한다. 워드의 매크로 버튼과 관련된 취약점으로, 익스플로잇에 성공하면 공격자가 임의의 파일을 읽어낼 수 있게 된다.

.http://www.krcert.or.kr/data/secNoticeList.do

http://www.microsoft.com/korea/security/default.mspx

http://www.adobe.com/kr/downloads/updates/