[4.27 버그리포트] CVE-2015-2097 外

CVE-2015-2097, CVE-2012-5451, CVE-2012-2932

CVE-2012-2930, CVE-2011-4403

[보안뉴스 문가용] 오늘부터 매일 간략하게 정리하는 해외의 버그 소식입니다. 하루에 다섯 개 안팎의 CVE 취약점이 소개될 예정입니다. 해당 제목을 누르시면 더 자세한 소개가 나온 영문 페이지로 이동됩니다.

1. CVE-2015-0297

공개날짜 : 2015년 4월 24일

내용 : 레드 햇 제이보스 오퍼레이션즈 네트워크(Red Hat JBoss Operations Network 3.3.1)에서 발견된 취약점으로 특정 API로의 접근을 제대로 금지시키지 않는 버그입니다. 이 버그로 인해 원격에서 공격자가 1) ServerInvokerServlet 2) SchedulerService를 통해 임의의 자바 메쏘드를 실행하거나 3) CountentManager를 통해 도스(denial of service) 공격을 감행할 수 있게 합니다.

2. CVE-2012-5451

공개날짜 : 2015년 4월 24일

내용 : TVMOBiLi라는 앱에 있는 HttpUtils.dll에서 발견된 스택 버퍼 오버플로우입니다. 2.1.0.3974 버전 전에는 TCP 포트 30888을 향한 1) Get 2) Head 요청에 포함된 긴 스트링을 통해 원격에서 도스 공격 실행이 가능했습니다(tvMobiliService 서비스의 다운).

3. CVE-2012-2932

공개날짜 : 2015년 4월 24일

내용 : TinyWebGallery(TWG)에서 발견된 다량의 XSS 취약점으로 1.8.8 버전 이전에는 원격에서 공격자가 임의의 웹 스크립트나 HTML을 1) selitems[] 매개변수 2) chmod 3) admin/index.php로의 아치 액션(arch action) 4) admin/index.php로의 검색 행위 내 searchitem 매개변수를 통해 삽입할 수 있습니다.

4. CVE-2012-2930

공개날짜 : 2015년 4월 24일

내용 : 역시 TinyWebGallery(TWG)에서 발견된 다량의 CSRF 취약점으로 1.8.8 버전 이전에는 원격에서 공격자가 관리자 인증 절차 중에 벌어지는 다음 요청들을 하이재킹하는 게 가능합니다. 1) adduser 액션을 통해 admin/index.php에 사용자를 추가하는 것 2) admin/index.php에의 사용자 매개변수를 통해 .htusers.php에 php 코드 삽입 공격.

5. CVE-2011-4403

공개날짜 : 2015년 4월 24일

내용 : Zen Cart 1.3.9h에서 발견된 다량의 CSRF 취약점으로 원격에서 공격자가 관리자 인증절차 중에 벌어지는 다음 요청들을 하이재킹하는 게 가능합니다. 1) product.php에서 delete_product_confirm 액션을 통해 제품을 지우는 것 2) categories.php에서 setflag 액션을 통해 제품을 비활성화시키는 것.

@DARKReading

[국제부 문가용 기자(globoan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)