[5.28 버그리포트] CVE-2014-9710 外

CVE-2014-9710, CVE-2014-9715, CVE-2015-1157

CVE-2015-2666, CVE-2015-2830

[보안뉴스 주소형] 현지 시각으로 5월 27일, 우리나라 시간으로는 대략 27일에서 28일로 넘어오는 밤 사이에 미국의 National Vulnerability Database을 통해 발표된 취약점들입니다.

1. CVE-2014-9710

리눅스 커널 3.19 이전 버전의 Btrfs 도구에서 발견된 취약점으로 교체 요청으로 인해 계속 xattr 상태로 반복되게 해줍니다. 이는 로컬 사용자가 표준 파일시스템 운영체계인 1) xattr 교체 중에 발생하는 시간 창(race condition과 관련 있음) 2) xattr 교체 시도 후의 부정확한 정보로 인한 실패를 통해 이미 만들어진 ACL 설정을 우회시키고 특권을 갖게 해줍니다.

2. CVE-2014-9715

리눅스 커널의 3.14.5 이전 버전의 서브시스템인 넷필터의 include/net/netfilter/nf_conntrack_extend.h에서 발견된 취약점으로 데이터 확장을 위해 쓰이는 비효율적인 대형 데이터 유형을 사용하게 해줍니다. 이는 로컬 사용자가 NAT안의 PPTP 터널 환경설정을 보여주는 아웃바운드 네트워크 트래픽을 통해 서비스 거부를 할 수 있게 해줍니다.

3. CVE-2015-1157

Apple iOS 8.x과 8.3 버전 사이에서 발견된 CoreText로 공격자가 원격에서 조작된 유니코드 텍스트 및 1) SMS 메시지, 2) WhatsApp 메시지 안에 있는 아라비아 문자를 통해 서비스 거부를 할 수 있게 해줍니다.

4. CVE-2015-2666

get_matching_model_microcode 기능, arch/x86/kernel/cpu/microcode/intel_early.c, 리눅스 커널 4.0 이전 버전에서 발견된 스택 버퍼오버플로우 취약점으로 context-dependent 공격자가 원격에서 조작된 마이크로코드 헤더 및 램디스크 접속을 위한 루트 특권 레버리징에 의해 특권을 얻게 해줍니다.

5. CVE-2015-2830

리눅스 커널 3.19.2 이전 버전에서 발견된 arch/x86/kernel/entry_64.S으로 사용자 방식에서 TS_COMPAT 플래그를 막아줍니다. 이는 로컬 사용자가 seccomp 또는 오딧 보호기구를 1) fork, 2) close system call을 사용한 조작된 애플리케이션을 통해 우회하게 해줍니다.

Copyrighted 2015. UBM-Tech. 117153:0515BC

[국제부 주소형 기자(sochu@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)