MS12-037 취약점, 편리성 제공 대신 보안결함 유발

‘보안프로젝트’가 발표한 MS12-037 취약점 분석보고서 내용은?

[보안뉴스 권 준] 최근 유행하는 악성코드들은 대부분 제로데이 취약점을 이용해 시스템을 공격하고 있는 것으로 알려졌다.

이와 관련 인터넷 보안 커뮤니티인 보안프로젝트와 한국정보보호교육센터는 지난 6월 12일 처음 발표된 이후, 제로데이 취약점으로 패치가 이루어질 때까지 국내에 적지 않은 피해를 입힌 MS12-037 취약점에 대한 분석보고서를 발표했다.

이번 분석보고서에 따르면 MS 관련 취약점은 자바, 플래시 플레이어 등에서 발생하는 멀티미디어 취약점들에 비해 비교적 패치가 빨리 이루어지는 편이지만, 악의적 의도를 품은 공격자들에 의해 얼마든지 악용될 수 있다는 것.

해당 취약점은 이미 패치됐지만, 분석을 통해 시스템에 어떠한 취약점이 발생할 수 있는지, 그리고 그 취약점이 어떤 방식으로 악용될 수 있는지 자세히 알아볼 필요성이 제기되어 분석 보고서를 만들게 됐다고 보안프로젝트 측은 밝혔다.

MS12-037은 Internet Explorer 8 상에서 ID 속성을 처리할 때 발생하는 결함을 이용하는 취약점이다. 해당 취약점을 이용해 공격자는 원격코드 실행뿐만 아니라, 시스템 변조, 서비스 파괴 등 치명적인 공격을 수행할 수 있다.

보안프로젝트 측은 “MS12-037 취약점은 인터넷 브라우저의 ID 속성 처리 매커니즘에 존재하는 결함을 이용한 취약점으로 공개된 다른 취약점들에 비해 비교적 패치가 빨리 이루어졌지만 최근 이슈가 되고 있는 XML이나 기타 자바 및 플래시 멀티미디어 관련 취약점과는 다른 유형으로 다소 특이한 원리를 가지고 있다”며, “비록 정확한 코드 분석을 통한 근본적인 결함에는 다가가지 못했지만, 브라우저가 DOM 객체를 처리하는 과정에서 취약점이 발생할 수 있다는 사실을 확인했다는 점에서 시사하는 바가 크다”고 설명했다.

문서 내에 존재하는 모든 객체를 간편하게 끌어다 쓸 수 있는 DOM(Document Object Model) 기능은 사용자에게 편리성을 제공해주는 반면, MS12-037과 같은 보안 결함을 유발할 수 있다는 사실이 이번 분석 보고서를 통해 밝혀졌다는 것.

“MS12-037은 현재 패치가 완료된 상태로, 자동 업데이트를 사용하는 사용자는 해당 취약점에 대해 안전하지만, 만일 업데이트를 수동으로 설정했거나 운영체제를 새롭게 설치한 사용자라면 보안 업데이트를 반드시 적용해야 한다”고 보안프로젝트 측은 덧붙였다.

한편, 이 분석보고서는 한국정보보호교육센터 홈페이지의 지식채널 메뉴(http://www.kisec.com/knowledge_channel/kiseclab)에서 무료로 다운로드 받을 수 있다.

[권 준 기자(editor@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)