[12.21 버그리포트] CVE-2015-6428 外

CVE-2015-6428, CVE-2015-6556, CVE-2015-6429
CVE-2015-7755, CVE-2015-7756

[보안뉴스 문가용] 현지 시각으로 12월 20일, 우리나라 시간으로는 대략 20일에서 21일로 넘어오는 밤 사이에 미국의 National Vulnerability Database을 통해 발표된 취약점들이다.

1. CVE-2015-6428
EDVA r1 BASE를 갖춘 시스코 DPQ3925 기기들에 있는 취약점으로 공격자들이 원격에서 조작된 HTTP 요청을 통해 민감한 정보를 취득할 수 있게 해준다. Bug ID CSCuv03958과 같다.

2. CVE-2015-6556
시만텍의 Endpoint Encryption 11.1.0 이전 버전의 클라이언트에 있는 Framework Service 내 EACommunicatorSrv.exe가 포함하고 있던 취약점으로 원격에서 승인된 사용자가 메모리 덤프를 활용해 크리덴셜 정보를 알아내는 게 가능했다.

3. CVE-2015-6429
시스코 IOS 15.4부터 15.6까지, IOS XE 3.15부터 3.17 버전에 있는 IKEv1 state machine의 취약점으로 원격의 공격자가 조작된 IKEv1 패킷을 터널 엔드포인트에 적용함으로써 DoS 공격을 하는 게 가능했다. Bug ID CSCuw08236과 동일하다.

4. CVE-2015-7755
주니퍼 ScreenOS의 여러 버전(6.2.0r15~6.2.0r18, 6.3.0r12~6.3.0r12b, 6.3.0r13~6.3.0r13b, 6.3.0r14~6.3.0r14b, 6.3.0r15~6.3.0r15b, 6.3.0r16~6.3.0r16b, 6.3.0r17~6.3.0r17b, 6.3.0r18~6.3.0r18b, 6.3.0r19~6.3.0r19b, 6.3.0r20~6.3.0r21)에 있는 취약점으로 원격의 공격자가 SSH 혹은 TELNET 세션 중간에 특정 암호를 입력해 관리자 권한을 가져갈 수 있게 된다.

5. CVE-2015-7756
주니퍼 ScreenOS의 여러 버전(6.2.0r15~6.2.0r18, 6.3.0r12~6.3.0r12b, 6.3.0r13~6.3.0r13b, 6.3.0r14~6.3.0r14b, 6.3.0r15~6.3.0r15b, 6.3.0r16~6.3.0r16b, 6.3.0r17~6.3.0r17b, 6.3.0r18~6.3.0r18b, 6.3.0r19~6.3.0r19b, 6.3.0r20~6.3.0r21)에 있는 암호화 방식에서 발견된 취약점으로 원격의 공격자가 VPN 세션의 내용을 평범한 텍스트의 방식으로 탈취하는 걸 가능하게 한다. 이때 사이퍼텍스트 정보를 네트워크에서 스니핑하거나 특정 복호화 공격을 병행한다.
[국제부 문가용 기자(globoan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)