[12.14 버그리포트] CVE-2015-6406 外

CVE-2015-6406, CVE-2015-6407, CVE-2015-6413
CVE-2015-6414, CVE-2015-6418

[보안뉴스 문가용] 현지 시각으로 12월 13일, 우리나라 시간으로는 대략 13일에서 14일로 넘어오는 밤 사이에 미국의 National Vulnerability Database을 통해 발표된 취약점들이다.

CVE-2015-6406
시스코 Emergency Responder 10.5(1.10000.5)의 툴 메뉴에 있는 디렉토리 접근 공격(Directory Traversal) 취약점은 허가 되지 않은 사용자가 원격에서 조작된 파일이름을 가진 임의의 파일을 작성할 수 있게 해준다. Bug ID CSCuv21781와 같다.

CVE-2015-6407
시스코 Emergency Responder 10.5(3.10000.9) 버전은 공격자들이 원격에서 임의의 위치로 조작된 매개변수를 통해 파일을 업로드 할 수 있게 해준다. Bug ID CSCuv25501과 같다.

CVE-2015-6413
시스코 TelePresence Video Communication Server(VCS) Expressway X8.6은 인증되지 않은 사용자가 원격에서 읽기 전용 제한을 우회해서 Tanberg Linux Package(TLP) 파일들을 업로드할 수 있게 해준다. 이때 관리자 페이지로 접근해 들어간다. Bug ID CSCuw55651과 같다.

CVE-2015-6414
시스코 TelePresence Video Communication Server(VCS) X8.6은 다른 시스템의 다른 사용자들 간 같은 암호키 사용을 허용한다. 로컬 사용자가 암호 메커니즘을 우회하는 게 쉬워진다. Bug ID CSCuw64516과 같다.

CVE-2015-6418
시스코 Small Business RV 라우터 4.x와 SA500 보안 가전기기 2.2.07에 있는 무작위 숫자 생성기(random-number generator)의 취약점으로 엔트로피가 충분치 않아 원격 공격자들이 핸드셰이크 및 데이터 교환과 관련된 불특정 컴퓨테이션을 통해 TLS 키를 알아내는 걸 쉽게 해준다. Bug ID CSCus15224와 같다.
[국제부 문가용 기자(globoan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)