[12.14 버그리포트] CVE-2015-6406 外

CVE-2015-6406, CVE-2015-6407, CVE-2015-6413
CVE-2015-6414, CVE-2015-6418

[보안뉴스 문가용] 현지 시각으로 12월 13일, 우리나라 시간으로는 대략 13일에서 14일로 넘어오는 밤 사이에 미국의 National Vulnerability Database을 통해 발표된 취약점들이다.

CVE-2015-6406
시스코 Emergency Responder 10.5(1.10000.5)의 툴 메뉴에 있는 디렉토리 접근 공격(Directory Traversal) 취약점은 허가 되지 않은 사용자가 원격에서 조작된 파일이름을 가진 임의의 파일을 작성할 수 있게 해준다. Bug ID CSCuv21781와 같다.

CVE-2015-6407
시스코 Emergency Responder 10.5(3.10000.9) 버전은 공격자들이 원격에서 임의의 위치로 조작된 매개변수를 통해 파일을 업로드 할 수 있게 해준다. Bug ID CSCuv25501과 같다.

CVE-2015-6413
시스코 TelePresence Video Communication Server(VCS) Expressway X8.6은 인증되지 않은 사용자가 원격에서 읽기 전용 제한을 우회해서 Tanberg Linux Package(TLP) 파일들을 업로드할 수 있게 해준다. 이때 관리자 페이지로 접근해 들어간다. Bug ID CSCuw55651과 같다.

CVE-2015-6414
시스코 TelePresence Video Communication Server(VCS) X8.6은 다른 시스템의 다른 사용자들 간 같은 암호키 사용을 허용한다. 로컬 사용자가 암호 메커니즘을 우회하는 게 쉬워진다. Bug ID CSCuw64516과 같다.

CVE-2015-6418
시스코 Small Business RV 라우터 4.x와 SA500 보안 가전기기 2.2.07에 있는 무작위 숫자 생성기(random-number generator)의 취약점으로 엔트로피가 충분치 않아 원격 공격자들이 핸드셰이크 및 데이터 교환과 관련된 불특정 컴퓨테이션을 통해 TLS 키를 알아내는 걸 쉽게 해준다. Bug ID CSCus15224와 같다.
[국제부 문가용 기자(globoan@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다