0xNews - 2016년부터 2020년 현재까지 가장 많이 악용된 취약점 목록 발표

0xNews - 2016년부터 2020년 현재까지 가장 많이 악용된 취약점 목록 발표


미국 FBI Federal Bureau of Investigation, 국토 안보부 DHS Department of Homeland Security, 사이버보안 및 인프라 보안국 CISA Cybersecurity & Infrastructure Security Agency 통합 연구팀 발표

https://us-cert.cisa.gov/ncas/alerts/aa20-133a


제로데이 0-Day 취약점과 달리 이미 알려진 취약점을 악용하여 공격하는 것이 공격자 입장에서 더 적은 리소스가 필요

공격자는 적은 리소스를 사용하여 큰 결과를 얻을 수 있기에 정부 담당자와 기업 보안 담당자는 사용하는 애플리케이션의 보안 업데이트에 주기적인 관심을 가져줄 것을 당부


가장 많이 공격자가 사용한 기술 중 하나는 MS 의 OLE Object Linking and Embedding

MS 오피스 Office 문서가 다른 앱의 컨텐츠를 포함할 수 있도록 하는 기술

CVE-2017-11882

CVE-2017-0199

CVE-2012-0158 등 3개의 취약점은 해커 그룹에서 가장 많이 악용된 보안 취약점


두번째로 공격을 많이 받은 기술은 Apache Struts 

CVE-2019-19781

CVE-2019-11510 등 2개의 취약점은 2020년 가장 많이 악용되는 취약점


2019년 후반부터 현재까지 COVID-19 로 인한 재택 근무로 인해 MS Office 365 를 많이 사용

이 MS Office 365 배포를 잘못 구성하여 외부 공격이 되는 문제도 발생


다음은 2016년부터 현재까지 가장 많이 악용된 취약점 리스트

TOP 10 / 1

CVE-2017-11882

MS Office

취약한 제품 : Microsoft Office 2007 SP3 / 2010 SP2 / 2013 SP1 / 2016 제품

관련 악성 코드 : Loki, FormBook, Pony / FAREIT

수정 : Microsoft는 2017년 11월 수정 완료

완화 : 모든 Microsoft 제품을 최신 보안 패치로 업데이트 권고

IOC :  https://www.us-cert.gov/ncas/analysis-reports/ar20-133e


TOP 10 / 2

CVE-2017-0199

MS Office

취약한 제품 : Microsoft Office 2007 SP3 / 2010 SP2 / 2013 SP1 / 2016, Vista SP2, Server 2008 SP2, Windows 7 SP1, Windows 8.1

관련 악성 코드 : FINSPY, LATENTBOT, Dridex

수정 : Microsoft는 2017년 4월 수정 완료

완화 : 모든 Microsoft 제품을 최신 보안 패치로 업데이트 권고

IOC :  https://www.us-cert.gov/ncas/analysis-reports/ar20-133g

https://www.us-cert.gov/ncas/analysis-reports/ar20-133h

https://www.us-cert.gov/ncas/analysis-reports/ar20-133p


TOP 10 / 3

CVE-2017-5638

Apache Struts

취약한 제품 : 2.3.32 이전의 Apache Struts 2 2.3.x 및 2.5.10.1 이전의 2.5.x

관련 악성 코드 : JexBoss

수정 : Oracle은 2017년 9월 수정

완화 : Struts 2.3.32 또는 Struts 2.5.10.1 로 업그레이드 권고

IOC : https://www.us-cert.gov/ncas/analysis-reports/AR18-312A


TOP 10 / 4

CVE-2012-0158

MS Office

취약한 제품 : Microsoft Office 2003 SP3, 2007 SP2, SP3, 2010 Gold 및 SP1; Office 2003 Web Components SP3; SQL Server 2000 SP4, 2005 SP4, 2008 SP2, SP3 및 R2; BizTalk Server 2002 SP1; Commerce Server 2002 SP4, 2007 SP2, 2009 Gold 및 R2; Visual FoxPro 8.0 SP1 및 9.0 SP2; 및 Visual Basic 6.0

관련 악성 코드 : Dridex

수정 : Microsoft는 2012년 4월 수정

완화 : 모든 Microsoft 제품을 최신 보안 패치로 업데이트 권고

IOC :  https://www.us-cert.gov/ncas/analysis-reports/ar20-133i

https://www.us-cert.gov/ncas/analysis-reports/ar20-133j

https://www.us-cert.gov/ncas/analysis-reports/ar20-133k

https://www.us-cert.gov/ncas/analysis-reports/ar20-133l

https://www.us-cert.gov/ncas/analysis-reports/ar20-133n

https://www.us-cert.gov/ncas/analysis-reports/ar20-133o


TOP 10 / 5

CVE-2019-0604

MS SharePoint

취약한 제품 : Microsoft SharePoint

관련 악성 코드 : China Chopper

수정 : Microsoft는 2019년 2월 수정

완화 : 모든 Microsoft 제품을 최신 보안 패치로 업데이트 권고

세부 정보 : https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0604


TOP 10 / 6

CVE-2017-0143

MS Windows

취약한 제품 : Microsoft Windows Vista SP2; Windows Server 2008 SP2 및 R2 SP1; Windows 7 SP1; Windows 8.1; Windows Server 2012 Gold 및 R2; Windows RT 8.1; 및 Windows 10 Gold, 1511 및 1607; 및 Windows Server 2016

관련 악성 코드 : EternalSynergy 및 EternalBlue 익스플로잇 키트를 사용한 다수

수정 : Microsoft는 2017년 3월 수정

완화 : 모든 Microsoft 제품을 최신 보안 패치로 업데이트 권고

세부 정보 :  https://nvd.nist.gov/vuln/detail/CVE-2017-0143


TOP 10 / 7

CVE-2018-4878

Adobe Flash Player

취약한 제품 : 28.0.0.161 이전의 Adobe Flash Player

관련 악성 코드 : DOGCALL

수정 : 2018년 2월 Adobe에서 수정

완화 : 최신 보안 패치를 사용하여 Adobe Flash Player 설치를 최신 버전으로 업데이트 권고

IOC :  https://www.us-cert.gov/ncas/analysis-reports/ar20-133d


TOP 10 / 8

CVE-2017-8759

MS .NET Framework

취약한 제품 : Microsoft .NET Framework 2.0, 3.5, 3.5.1, 4.5.2, 4.6, 4.6.1, 4.6.2 및 4.7

관련 악성 코드 : FINSPY, FinFisher, WingBird

수정 : Microsoft에서 2017년 9월 수정

완화 : 모든 Microsoft 제품을 최신 보안 패치로 업데이트 권거

IOC :  https://www.us-cert.gov/ncas/analysis-reports/ar20-133f


TOP 10 / 9

CVE-2015-1641

MS Word

취약한 제품 : Microsoft Word 2007 SP3, Office 2010 SP2, Word 2010 SP2, Word 2013 SP1, Word 2013 RT SP1, Word for Mac 2011, Office 호환 기능 팩 SP3, SharePoint Server 2010 SP2 및 2013 SP1의 Word Automation Services, Office Web Apps Server 2010 SP2 및 2013 SP1

관련 악성 코드 : Toshliph, UWarrior

수정 : Microsoft는 2015년 4월 수정

완화 : 모든 Microsoft 제품을 최신 보안 패치로 업데이트 권고

IOC :  https://www.us-cert.gov/ncas/analysis-reports/ar20-133m


TOP 10 / 10

CVE-2018-7600

Drupal

취약한 제품 : Drupal 7.58 이전, 8.x 이전 8.3.9, 8.4.x 이전 8.4.6, 8.5.x 이전 8.5.1

관련 악성 코드 : Kitty

수정 : Drupal 커뮤니티는 2018년 3월 수정

완화 : Drupal의 최신 버전인 Drupal 7 또는 Drupal 8 로 업그레이드 권고

세부 정보 :  https://nvd.nist.gov/vuln/detail/CVE-2018-7600


댓글

댓글 쓰기

글과 상관없는 댓글 작성은 발견 즉시 삭제합니다.

이 블로그의 인기 게시물

0xNews - 미군을 주제로 하여 한국인을 노리는 피싱 공격 캠페인 경고

이미지
0xNews - 미군을 주제로 하여 한국인을 노리는 피싱 공격 캠페인 경고 Securonix 발표 https://www.securonix.com/blog/detecting-ongoing-starkmule-attack-campaign-targeting-victims-using-us-military-document-lures/ 미군을 주제로한 문서를 미끼로 이용하여 한국어를 사용하는 개인을 대상으로 손상된 시스템에서 맬웨어를 실행하도록 하는 공격 확인 STARK#MULE 고 명명하여 공격 추적 중 현재까지 공격의 규모나 공격 결과에 대한 정보는 알려지지 않고 있음 소스와 가능성 있는 대상을 기준으로 판단해볼 때 이러한 유형의 공격은 역사적으로 한국이 이 그룹, 정부 관리의 주요 대상이었기 때문에 APT37 과 같은 전형적인 북한 사이버 공격 그룹에서 비롯된 과거 행적과 유사함 APT37 은 북한에서 지원하는 대표적인 사이버 공격 그룹 중 하나로 북한에 대해 보도하거나 탈북자를 지원하는데 관련된 조직을 대상으로 초점을 맞추는 것으로 알려져 있음 이 그룹이 탑재한 공격 체인은 역사적으로 사회공학적 해킹에 의존 피해자 피싱 후 RokRat 와 같은 페이로드를 대상 네트워크에 전달 적대적 집단은 최근 몇달 동안 AblyGo 라는 Go 기반 백도어를 포함하여 다양한 맬웨어 제품군으로 공격 무기를 확장 이번 캠페인의 주목할만한 특징은 시스템에 설치된 보안 솔루션의 레이더 아래로 이동하기 위해 페이로드나 C2 Command-and-Control 서버를 준비하기 위해 한국 전자상거래 웹 사이트를 점거 후 사용 시발점 역할을 하는 피싱 이메일은 미 육군 모집 메시지를 사용 수진자가 PDF문서로 가장한 바로가기 파일이 포함된 ZIP 아카이브 파일을 열도록 유도 바로가기 파일이 실행되면 미끼PDF 를 표시하지만 아카이브 파일에 있는 악성 Thumbs.db 파일의 실행을 은밀하게 활성화 이 파일은 추가 스테이지를 다운로드하고 schtasks.exe 를 활용 지속성 확보 후 여러 기능을
자세한 내용 보기

0xNews - 리눅스 커널에서 StackRot 라는 이름의 취약점으로 권한 상승 취약점 발견

이미지
0xNews - 리눅스 커널에서 StackRot 라는 이름의 취약점으로 권한 상승 취약점 발견 Openwall 통해 정보 공개  https://www.openwall.com/lists/oss-security/2023/07/05/1 StackRot 로 명명 CVE-2023-3269 지정 CVSS 7.8 리눅스 Linux 커널 버전 6.1에서 6.4 대상에게 영향을 미침 현재까지 악용된 증거는 발견되지 않음 StackRot는 메모리 관리 하위 시스템에서 발견된 리눅스 커널 취약점 거의 모든 커널 구성에 영향을 미치며 트리거 하는데 최소한의 기능이 필요 그러나 RCU Read-Copy Update 콜백을 사용하여 메이플 노드가 해제되어 RCU 유예 기간 이후까지 실제 메모리 할당 해제가 지연된다는 점에서 유의 결과적으로 이 취약점을 악용하는 것은 난이도가 매우 높음 23년 6월 15일 리누스 토발즈 Linus Torvalds 해당 문제 인지와 정보 공개 kernel.org 에서 해당 문제 정보 공개 https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=9471f1f2f50282b9e8f59198ec6bb738b4ccc009 23년 7월 1일 리눅스 커널 6.1.37, 6.3.11, 6.4.1 등으로 안정화 업데이트를 통해 문제 해결 StackRot 해결 업데이트 정보 공개 https://github.com/lrh2000/StackRot PoC 익스플로잇과 버그에 대한 기술 세부 사항에 대한 내용은 정리 후 공개 예정 이번 취약점은 본질적으로 메이플 트리라는 데이터 구조에 근본적인 문제를 가지고 있음 메이플 트리는 Red-Black rbtree 를 대체하여 가상 메모리 영역 VMA 를 관리하고 저장하기 위해 리눅스 커널 6.1에 도입 디스크에 있는 파일의 내용이나 실행 중에 있는 프로그램이 사용하는 메모리 특히 메이플 트리가 MM 쓰기 잠금을 제대로 획득하지 않고 노드 교체를 겪을
자세한 내용 보기

0xNews - 리눅스 시스템에 원격 명령어 인젝션 공격이 가능한 새로운 openSSH 취약점 발견

0xNews - 리눅스 시스템에 원격 명령어 인젝션 공격이 가능한 새로운 openSSH 취약점 발견 Qualys 발표 https://blog.qualys.com/vulnerabilities-threat-research/2023/07/19/cve-2023-38408-remote-code-execution-in-opensshs-forwarded-ssh-agent 특정 조건에서 손상된 호스트에서 임의의 명령을 원격으로 실행하기 위해 잠재적으로 악용될 수 있는 openSSH 상세 정보 공개 이번 취약점을 통해 원격 공격자는 취약한 openSSH 의 ssh-agent 에서 잠재적으로 임의의 명령 실행할 수 있는 것을 확인 CVE-2023-38408 지정 CVSS 점수 측정 전 openSSH v.9.3p2 이전의 모든 버전이 영향을 받음 openSSH 는 도청, 하이재킹, 기타 공격을 제거하기 위해 모든 트래픽을 암호화하는데 사용되는 SSH 프로토콜을 사용한 원격 로그인을 위한 연결 도구 이번 취약점을 악용에 성공하려면 피해자 시스템에 특정 라이브러리가 있어야 함 SSH 인증 에이전트가 공격자가 제어하는 시스템으로 전달 되어야 함 SSH 에이전트는 사용자의 키를 메모리에 유지하고 암호를 다시 입력하지 않고도 서버에 원격 로그인할 수 있도록 하는 백그라운드 프로그램 ssh-agent 의 소스 코드를 탐색하는 동안 A 의 ssh-agent 가 전달되는 원격 서버에 접속 이를 가능하게 한 원격 공격자가 A 의 리눅스 컴퓨터의 /usr/lib* 에 있는 모든 공유 라이브러리를 로드 dlopen()  이후 기본값인 ENABLE_PKCS11 로 컴파일된 경우 전달된 ssh-agent 를 통해 즉시 언로드 dlclose() 할 수 있는 것을 발견 테스트 결과 ubuntu desktop 22.04, 21.10 에서는 기본 설치 버전 대상 PoC 고안 가능 다른 리눅스 배포판 역시 취약할 것으로 예상 현재 사용 중인 openSSH 는 모두 최신 버전으로 업데이트 하는 것을 권고
자세한 내용 보기