Offcanvas

검색|인터넷 / 보안 / 운영체제

프랑스 보안 업체, 윈도우 8과 IE 10의 취약점 발견

2012.11.05 Jeremy Kirk  |  IDG News Service
프랑스 보안 업체 뷔펭이 마이크로소프트의 최신 OS와 브라우저의 취약점을 이용해 영업에 활용하고자 하고 있다.

다음은 뷔펭이 최근 트위터에 남긴 메시지의 일부로서, 마이크로소프트, 어도비, 애플, 오라클 등의 상용 소프트웨어에서 전문적으로 취약점을 찾아내는 뷔펭의 광고로 보기는 어렵다.

"윈도우 8+IE10과 HiASLR/AntiROP/DEP & 프로트 모드 샌드박스 바이패스(HiASLR/AntiROP/DEP & Prot Mode sandbox bypass)에 대한 우리의 첫번째 제로데이(플래시는 필요하지 않음)."

뷔펭은 정부와 기업에 취약점 정보를 판매하지만 영향받는 소프트웨어 업체와 세부 내용을 공유하지는 않으면서 컴퓨터 보안 연구 분야에서 회색지대에 자리잡은 업체다. 이 회사는 자사 정보가 해커 공격을 막아내며 어떤 경우에는 범죄를 재현하는 데 도움이 된다고 주장하고 있다.

뷔펭은 마이크로소프트의 새로운 윈도우 8 OS와 인터넷 익스플로러 10 브라우저에서 문제를 발견했다. 이 결함은 아직 공개되거나 해결되지 않았다.

윈도우 8에서 실행되는 제3의 소프트웨어에서 발견되긴 했지만, 뷔펭이 말한 취약점은 지난 주 출시된 윈도우 8과 인터넷 익스플로러 10에 대해 제기된 첫번째 이슈 중 하나가 됐다.

마이크로소프트 신뢰성 컴퓨팅(Trustworthy Computing) 담당 이사 데이브 포스톰은 “마이크로소프트는 연구원들에게 소프트웨어의 문제점을 공개적으로 폭로하기 전에 이를 해결하기 위해 시간을 달라고 요청하는 취약점 공개 프로그램(Coordinated Vulnerability Disclosure program)에 참여할 것을 독려한다”라고 밝혔다.

"우리는 트윗을 봤다. 하지만 거기에는 자세한 내용이 공유되지 않았다"라고 포스톰은 성명서에서 말했다.

지난 주 수요일에 올라온 뷔펭의 트윗터 메시지는 취약점으로 인해 해커가 고엔트로피 주소 공간 레이아웃을 임의로 지정(ASLR), 안티-ROP(anti-Return Oriented Programming), 데이터 실행 방지(DEP) 측정 등 윈도우 8에 포함된 보안 기술을 우회할 수 있다고 주장했다. 뷔펭은 어도비 시스템의 플래시 멀티미디어 프로그램 문제에 의존하지 않는다고 밝혔다.

이러한 논란에 대해 보안 업체인 엔서클(nCircle)의 보안 운영 이사 앤드류 스톰은 "분명 버그가 확인되면, 이는 마이크로소프트가 신제품의 문제를 발견하지 못했고 가장 안전한 플랫폼이 공개되고 난 후 결함을 발견했다는 뜻이 된다”라고 전했다.

“성공적인 시장 출시에 대한 기회가 윈도우 8의 최근 릴리스에 따라 제한될 수 있지만, 이 버그가 윈도우나 IE의 이전 버전에도 작동하지 않는다고 아무도 확신할 수 없다"라고 스톰은 말했다.

호주 보안 업체 해랩스(HackLabs)의 침투 테스터이자 선임 컨설턴트인 조디 멜버른은 “취약점 문제는 마이크로소프트 개발자 관심있는 코드 사인 인증이나 소스 코드를 도용하는 제3의 업체들에게 유용할 수 있다”라고 밝혔다.

취약점의 가치를 말하기란 어렵다. 뷔펭은 공개적으로 가격을 밝히지 않았다. 하지만 멜버른은 "버그의 가치는 시간에 비례해 상승할 것이다. 우연히 아무도 그것을 발견하지 못한다면, 뷔펭은 시간을 끌면 끌수록 그 가치는 더욱 상승할 것이다”라고 덧붙였다. ciokr@idg.co.kr
CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
Sponsored
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.