cyPark

VMware 제품 취약점 보안 업데이트 권고(21.04.01)

□ 개요
 o VMware 社는 자사 제품에서 발생하는 취약점을 해결한 보안 업데이트 발표
 o 공격자는 해당 취약점을 악용하여 임의파일 쓰기 등의 피해를 발생시킬 수 있으므로, 최신버전으로 업데이트 권고

□ 설명
 o vRealize Operations, Cloud Foundation, vRealize Suite Lifecycle Manager에서 입력값 검증이 미흡하여 발생하는 SSRF 취약점(CVE-2021-21975) 등 2개 [1]
 
□ 영향받는 제품 및 해결 버전

 ※ 참고사이트[1]에 명시되어 있는 ‘Reference’ 내용을 참고하여 패치 적용
 
□ 기타 문의사항
 o 한국인터넷진흥원 사이버민원센터: 국번없이 118
 
[참고사이트]
[1] https://www.vmware.com/security/advisories/VMSA-2021-0004.html
[2] https://kb.vmware.com/s/article/83260

Mozilla 제품 보안 업데이트 권고(21.03.29)

□ 개요
 o 모질라 재단은 자사 제품에서 발생하는 취약점을 해결한 보안 업데이트 발표
 o 공격자는 해당 취약점을 악용하여 정보노출 등의 피해를 발생시킬 수 있으므로, 최신버전으로 업데이트 권고

□ 설명
 o Firefox, Firefox ESR, Thunderbird에서 메모리 충돌로 인해 발생하는 정보노출 취약점(CVE-2021-23981) 등 8개 [1][2][3]
 
□ 영향받는 제품 및 최신 버전

  ※ 하단의 참고사이트를 확인하여 업데이트 수행 [4]
 
□ 기타 문의사항
 o 한국인터넷진흥원 사이버민원센터: 국번없이 118

[참고사이트]
[1] https://www.mozilla.org/en-US/security/advisories/mfsa2021-09/
[2] https://www.mozilla.org/en-US/security/advisories/mfsa2021-10/
[3] https://www.mozilla.org/en-US/security/advisories/mfsa2021-12/
[4] https://support.mozilla.org/ko/kb/update-firefox-latest-release

Cisco 제품 보안 업데이트 권고(21.03.26)

□ 개요
o Cisco社는 자사 제품의 취약점을 해결한 보안 업데이트 공지 [1]
o 공격자는 해당 취약점을 이용하여 라우터 원격코드 실행 등의 피해를 발생시킬 수 있으므로, 해당 제품을 사용하는 이용자들은 최신 버전으로 업데이트 권고

□ 설명
o Cisco Jabber Desktop 및 Mobile Client SW에서 입력값 검증이 미흡하여 발생하는 임의코드실행 취약점(CVE-2021-1411) 등 5개 [2]
o Cisco IOS XE SD-WAN Software에서 입력값 검증이 미흡하여 발생하는 임의명령어실행 취약점(CVE-2021-1432) 등 3개 [3,4,5]
o Cisco IOS XE ROM Monitor Software에서 특정 함수의 인자값에 대한 검증이 미흡하여 발생하는 명령어 삽입 취약점(CVE-2021-1452) [6]
o Cisco IOS XE Software에서 파라미터에 대한 검증이 미흡하여 발생하는 임의코드실행 취약점(CVE-2021-1441) 등 11개 [7,8,9,10,11,12,13,14,15,16]
o Cisco Access Point Software에서 TFTP 설정이 제한되지 않아 발생하는 정보노출 취약점(CVE-2021-1437) 등 2건 [17,18]

□ 영향받는 제품 및 해결 방안
o 참고 사이트에 명시되어 있는 ‘Affected Products’와 ‘Fixed Software’ 내용을 참고하여 패치 적용

□ 기타 문의사항
o 한국인터넷진흥원 사이버민원센터: 국번없이 118

[참고사이트]

[1] https://tools.cisco.com/security/center/publicationListing.x?product=Cisco&sort=-day_sir#~Vulnerabilities
[2] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cisco-jabber-PWrTATTC
[3] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxe-sdwarbcmdexec-sspOMUr3
[4] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxe-sdwdos-4zeEeC9w
[5] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxe-buffover-CqdRWLc
[6] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxe-romvar-cmd-inj-N56fYbrw
[7] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ios-xe-iot-codexec-k46EFF6q
[8] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxe-decnet-dos-cuPWDkyL
[9] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxe-cswsh-FKk9AzT5
[10] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ios-xe-pnp-priv-esc-AmG3kuVL
[11] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ios-xe-evss-code-exe-8cw5VSvw
[12] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ios-xe-cat-verify-BQ5hrXgH
[13] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-fast-Zqr6DD5
[14] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-alg-dos-hbBS7SZE
[15] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-XE-SAP-OPLbze68
[16] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-XE-ACE-75K3bRWe
[17] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-aironet-info-disc-BfWqghj
[18] https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ap-privesc-wEVfp8Ud

OpenSSL 취약점 보안 업데이트 권고(21.03.26)

□ 개요

 o OpenSSL에서 발생하는 취약점을 해결한 보안 업데이트 발표[1]
 o 낮은 버전 사용자는 서비스 거부 공격에 취약하므로, 최신 버전으로 업데이트 권고
 
□ 설명

 o OpenSSL TLS 서버에서 조작된 서명 알고리즘의 확장 필드를 처리할 때 널포인터 역참조로 발생하는 서비스 거부 취약점(CVE-2021-3449) [2]
 o OpenSSL에서 유효하지 않은 인증서를 검증하는 기능을 우회하는 보안기능 우회 취약점(CVE-2021-3450) [3]

□ 영향받는 제품 

o OpenSSL 1.1.1 ~ 1.1.1j 버전
  * 1.0.2 버전은 영향받지 않음
 
□ 해결 방안

 o OpenSSL 1.1.1k 버전으로 업데이트 적용
 
□ 기타 문의사항
 o 한국인터넷진흥원 사이버민원센터: 국번없이 118
 
[참고사이트]

[1] https://www.openssl.org/news/vulnerabilities.html
[2] https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-3449
[3] https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-3450

Samba 취약점 보안 업데이트 권고(21.03.26)

□ 개요
 o Samba 소프트웨어에서 발생하는 취약점을 해결한 보안 업데이트를 발표[1]
 o 낮은 버전 사용자는 임의코드 실행 및 서비스 거부 공격 등에 취약할 수 있으므로, 최신 버전으로 업데이트 권고

□ 설명
 o Samba AD(Active Directory) DC(Domain Controller)에서 메모리의 경계값을 벗어난 쓰기로 인해 발생하는 메모리 충돌 취약점(CVE-2020-27840) [2]
 o Samba AD DC에서 메모리의 경계값을 벗어난 읽기로 인해 발생하는 정보노출 취약점(CVE-2021-20277) [3]

□ 영향받는 제품 및 해결 버전

 ※ 해당 취약점에 영향받는 소프트웨어를 이용 중인 사용자는 업데이트 페이지를 참고하여 업데이트 수행 [1]
 
□ 기타 문의사항
 o 한국인터넷진흥원 사이버민원센터: 국번없이 118
 
[참고사이트]
[1] https://www.samba.org/samba/history/security.html
[2] https://www.samba.org/samba/security/CVE-2020-27840.html
[3] https://www.samba.org/samba/security/CVE-2021-20277.html

Adobe ColdFusion 보안 업데이트 권고(21.03.24)

□ 개요
 o Adobe社는 ColdFusion에서 발생하는 임의코드실행 취약점을 해결한 업데이트 발표 [1]
 o 낮은 버전을 사용중인 사용자는 임의코드실행 등의 피해를 발생시킬 수 있으므로 해결 방안에 따라 최신 버전으로 업데이트 권고
 
□ 설명
 o ColdFusion에서 사용자의 입력값에 대한 유효성 검사가 미흡하여 발생하는 임의코드실행 취약점(CVE-2021-21087) [1]
 
□ 영향을 받는 버전 및 제품

※ 아래의 Adobe 참고사이트에서 “Solution”의 “Availability” 항목 참고하여 업데이트 수행

□ 기타 문의사항
 o 한국인터넷진흥원 사이버민원센터: 국번없이 118

[참고사이트]
[1] https://helpx.adobe.com/security/products/coldfusion/apsb21-16.html

Zoom 제품 보안 주의 권고(21.03.23)

□ 개요
 o Zoom에서 사용자 정보가 노출될 수 있는 취약점이 발견되어 사용자들의 이용 주의 권고
  * 패치 발표 시 재공지 예정

□ 설명
 o Zoom 클라이언트에서 의도하지 않은 응용프로그램의 실행 화면이 공유되는 정보노출 취약점(CVE-2021-28133)
 
□ 영향 받는 버전(3.23일 기준)
 o 5.4.3(54779.1115) 버전
 o 5.5.4(13142.0301) 버전
 
□ 대응방안
 o Zoom 화면 공유 기능 사용 시 민감정보 등이 노출될 수 있으므로, 다른 응용프로그램 실행 자제

□ 기타 문의사항
 o 한국인터넷진흥원 사이버민원센터: 국번없이 118
 
[참고사이트]

[1] https://nvd.nist.gov/vuln/detail/CVE-2021-28133