Offcanvas

������ ���������

"심각성 10점 中 10점"··· 미 CISA, 윈도우 서버 탈취 가능성에 긴급 패치 지시

미 국토안보부 산하 사이버·인프라안보국(이하 CISA)이 연방 정부 기관에게 윈도우 서버 2008부터 윈도우 서버 2019의 액티브 디렉터리 핵심 인증 요소에 들어있는 취약점을 긴급 패치하라는 이례적인 지시를 내렸다.  CISA가 미 연방 정부 기관들에게 윈도우 서버를 며칠 내로 패치하라는 비상 지시를 내렸다. 서버 취약성이 그만큼 심각하다는 것을 시사한다.     해당 지시는 지난 18일에 내려졌으며 정부 기관들은 4일 내로 보안 업데이트를 해야만 했다. 지시에 따르면 유관 기관들은 지난달 11일 발표된 CVE-2020-1472 취약점을 패치하기 위해 "즉각적이고 긴급한 조치"를 취해야 한다.  이 취약점은 윈도우 서버 2008에서 서버 2019의 액티브 디렉터리의 핵심 인증 요소인 마이크로소프트 윈도우 넷로그온 리모트 프로토콜(MS-NRPC) 속에 존재한다. 작동 방식 때문에 "제로로그온"이라는 이름이 붙여졌다.  마이크로소프트의 버그 엔트리에 따르면, CVE-2020-1472 취약점용 패치는 공격자가 NRPC를 사용해 도메인 컨트롤러와 취약한 보안 채널 연결을 설정할 때 발생하는 주요 권한 상승 버그를 해결한다. 이 취약점 때문에 공격자는 네트워크 액세스만 확보하면 인증 없이도 도메인 컨트롤러에 접근해 액티브 디렉토리의 ID 서비스를 완전히 손상시킬 수 있다.  마이크로소프트는 공통 취약점 등급 시스템(CVSS)의 10점 척도를 기준으로 이 취약점에 10점을 부여했다. 취약성이 그만큼 심각하다는 의미다. 이번 패치는 해당 취약점을 해결할 수 있는 유일한 방법이다. 즉, 패치를 통해 취약한 도메인 컨트롤러를 네트워크에서 제거할 수 있다. CISA가 관할하는 기관은 연방정부에 한정된다. 미 국방부처럼 자체 규칙을 가진 곳은 제외된다. 하지만 CISA는 주정부 및 지방정부 기관, 민간 부문, 기타 비정부 기관 등 관할하지 않는 기관들에게도 가능한 한 빨리 업데이트할 것을 강력하게 촉구하...

CISA 윈도우 액티브 디렉터리 제로로그온 버그바운티 패치 화요일

2020.09.29

미 국토안보부 산하 사이버·인프라안보국(이하 CISA)이 연방 정부 기관에게 윈도우 서버 2008부터 윈도우 서버 2019의 액티브 디렉터리 핵심 인증 요소에 들어있는 취약점을 긴급 패치하라는 이례적인 지시를 내렸다.  CISA가 미 연방 정부 기관들에게 윈도우 서버를 며칠 내로 패치하라는 비상 지시를 내렸다. 서버 취약성이 그만큼 심각하다는 것을 시사한다.     해당 지시는 지난 18일에 내려졌으며 정부 기관들은 4일 내로 보안 업데이트를 해야만 했다. 지시에 따르면 유관 기관들은 지난달 11일 발표된 CVE-2020-1472 취약점을 패치하기 위해 "즉각적이고 긴급한 조치"를 취해야 한다.  이 취약점은 윈도우 서버 2008에서 서버 2019의 액티브 디렉터리의 핵심 인증 요소인 마이크로소프트 윈도우 넷로그온 리모트 프로토콜(MS-NRPC) 속에 존재한다. 작동 방식 때문에 "제로로그온"이라는 이름이 붙여졌다.  마이크로소프트의 버그 엔트리에 따르면, CVE-2020-1472 취약점용 패치는 공격자가 NRPC를 사용해 도메인 컨트롤러와 취약한 보안 채널 연결을 설정할 때 발생하는 주요 권한 상승 버그를 해결한다. 이 취약점 때문에 공격자는 네트워크 액세스만 확보하면 인증 없이도 도메인 컨트롤러에 접근해 액티브 디렉토리의 ID 서비스를 완전히 손상시킬 수 있다.  마이크로소프트는 공통 취약점 등급 시스템(CVSS)의 10점 척도를 기준으로 이 취약점에 10점을 부여했다. 취약성이 그만큼 심각하다는 의미다. 이번 패치는 해당 취약점을 해결할 수 있는 유일한 방법이다. 즉, 패치를 통해 취약한 도메인 컨트롤러를 네트워크에서 제거할 수 있다. CISA가 관할하는 기관은 연방정부에 한정된다. 미 국방부처럼 자체 규칙을 가진 곳은 제외된다. 하지만 CISA는 주정부 및 지방정부 기관, 민간 부문, 기타 비정부 기관 등 관할하지 않는 기관들에게도 가능한 한 빨리 업데이트할 것을 강력하게 촉구하...

2020.09.29

돌연 취소된 MS 2월 보안 업데이트··· 보안 전문가들, "뾰족한 수 없다"

지난주 마이크로소프트는 윈도우 및 오피스를 포함한 기타 제품에 대한 2월 보안 업데이트 배포를 취소한다고 밝혔다. 업데이트 배포가 지연될 것이라고 발표한 지 하루 만에 취소 결정이 발표된 것이다. 패치 전문가들은 이번 결정에 대해 우려를 제기하고 있다. 알려진 취약성이 패치 되지 않은 상태로 유지될 것이며 그 결과 IT계획에 차질이 발생할 수 있다는 지적이다. 패치 관리 벤더 이반티(Ivanty)의 제품 관리자 크리스 고틀은 “충격을 받았다. (패치가 공개되기를) 학수고대하고 있었다”라고 말했다. 지난 14일 2월의 패치 화요일(Patch Tuesday) 업데이트가 공개되기 몇 시간 전 마이크로소프트는 패치 배포가 지연될 예정이라고 발표했다. 이 기업은 “일부 고객들에게 영향을 끼칠 수 있는 문제가 발견됐으며, 계획된 업데이트 일정에 맞추어 해결하지 못했다”라고 밝혔다. 이는 2월의 보안 픽스(Fix)가 문제 해결 이후에 제공될 것이라는 의미였다. 하지만 15일 마이크로소프트는 이 발표를 번복했다. 회사는 “2017년 3월 14일에 계획된 3월 업데이트 화요일에 업데이트를 제공하겠다"라고 밝혔다. 참고로 마이크로소프트는 더욱 널리 사용되는 ‘패치 화요일’(Patch Tuesday)이라는 용어보다 ‘업데이트 화요일’(Update Tuesday)이라는 용어를 선호한다. 월간 업데이트 누락은 예상 못한 문제였다. 2003년 정기 업데이트 출범 이후로 마이크로소프트가 패치 화요일을 4번(마지막은 2007년 3월) 누락하기는 했지만 패치가 준비되지 않았을 때의 문제였다. 픽스가 준비됐는데도 불구하고 어긴 적은 없었다. 기업 IT 관리자들이 업데이트 지식을 논의하는 ‘PatchMangement.org’ 메일링 목록 운영자 수잔 브래들리는 “아무 것도 준비되지 않았던 예전과 다른 상황이다. 패치는 ...

마이크로소프트 2월 패치 업데이트 화요일 패치 화요일

2017.02.21

지난주 마이크로소프트는 윈도우 및 오피스를 포함한 기타 제품에 대한 2월 보안 업데이트 배포를 취소한다고 밝혔다. 업데이트 배포가 지연될 것이라고 발표한 지 하루 만에 취소 결정이 발표된 것이다. 패치 전문가들은 이번 결정에 대해 우려를 제기하고 있다. 알려진 취약성이 패치 되지 않은 상태로 유지될 것이며 그 결과 IT계획에 차질이 발생할 수 있다는 지적이다. 패치 관리 벤더 이반티(Ivanty)의 제품 관리자 크리스 고틀은 “충격을 받았다. (패치가 공개되기를) 학수고대하고 있었다”라고 말했다. 지난 14일 2월의 패치 화요일(Patch Tuesday) 업데이트가 공개되기 몇 시간 전 마이크로소프트는 패치 배포가 지연될 예정이라고 발표했다. 이 기업은 “일부 고객들에게 영향을 끼칠 수 있는 문제가 발견됐으며, 계획된 업데이트 일정에 맞추어 해결하지 못했다”라고 밝혔다. 이는 2월의 보안 픽스(Fix)가 문제 해결 이후에 제공될 것이라는 의미였다. 하지만 15일 마이크로소프트는 이 발표를 번복했다. 회사는 “2017년 3월 14일에 계획된 3월 업데이트 화요일에 업데이트를 제공하겠다"라고 밝혔다. 참고로 마이크로소프트는 더욱 널리 사용되는 ‘패치 화요일’(Patch Tuesday)이라는 용어보다 ‘업데이트 화요일’(Update Tuesday)이라는 용어를 선호한다. 월간 업데이트 누락은 예상 못한 문제였다. 2003년 정기 업데이트 출범 이후로 마이크로소프트가 패치 화요일을 4번(마지막은 2007년 3월) 누락하기는 했지만 패치가 준비되지 않았을 때의 문제였다. 픽스가 준비됐는데도 불구하고 어긴 적은 없었다. 기업 IT 관리자들이 업데이트 지식을 논의하는 ‘PatchMangement.org’ 메일링 목록 운영자 수잔 브래들리는 “아무 것도 준비되지 않았던 예전과 다른 상황이다. 패치는 ...

2017.02.21

회사명:한국IDG 제호: ITWorld 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아00743 등록일자 : 2009년 01월 19일

발행인 : 박형미 편집인 : 박재곤 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2022 International Data Group. All rights reserved.

10.4.0.13