Wins blog

글로벌 정보보안 파트너! Global Security  No.1 윈스는 국가대표 정보보안 기업에서 글로벌 강소기업으로 도약합니다.

보안 정보

앞 내용 보기 다음 내용 보기
보안 동향[2019년 10월 15일] 주요 보안 이슈
작성일 2019-10-15 조회 204

1. [기사] Privacy advocates criticize Apple for sharing some users browsing data with Tencent
[https://securityaffairs.co/wordpress/92492/digital-id/apple-shared-data-tencent.html]
대부분의 Apple 사용자는 iOS 웹 브라우징 데이터를 중국의 대기업 Tencent에 전송한다는 사실을 모른다. iOS 12.2 이상부터 적용되었을 것으로 추측되며, Apple은 보안을 향상시키고, 사기성 웹 사이트로부터 사용자를 보호하기 위한 목적으로 Tencent Safe Browsing을 통합했다. Tencent Safe Browsing은 iOS와 macOS에서 Safari 웹 브라우저를 통해 사용자가 방문한 모든 사이트를 확인하여 Fraudulent Website Warning 기능을 구현하고, 이를 수행한다. 해당 기능은 iOS 13을 실행하는 iPhone 및 iPad 장치에서 기본적으로 활성화되어 있으며, iOS의 경우 설정> Safari> 사기성 웹 사이트 경고를 끌 수 있고, macOS는 Safari> 환경 설정> 보안> 사기성 웹 사이트를 방문할 때 경고를 선택 취소할 수 있다.


2. [기사] Mozilla Rolls Out Code Injection Attack Protection in Firefox
[https://www.bleepingcomputer.com/news/security/mozilla-rolls-out-code-injection-attack-protection-in-firefox/]
Mozilla는 Firefox 웹 브라우저에서 코드 삽입 공격을 차단하기 위한 보호 조치를 시작했으며, eval()과 같은 기능과 인라인 스크립트 발생을 제거하여 공격 범위를 줄였다. 모질라 보안팀은 코드베이스에서 위험 가능성이 있는 아티팩트를 제거하여 다양한 레벨에서 코드를 강화함으로써 공격 표면을 줄이는 것이 코드 주입 공격에 효과적으로 대응할 수 있는 입증된 방법이라고 말했다. 그리고 이러한 코드 주입 공격에 대해 Firefox가 탄력적으로 작동하기 위해, 인라인 스크립트의 발생은 물론 eval()와 유사한 기능도 제거했다. 또한, Mozilla는 dev 웹 문서를 통해 eval()은 발신자의 특권으로 전달된 코드를 실행하는 위험한 기능이고, 악의적인 당사자의 영향을 받을 수 있는 문자열로 eval()을 실행할 경우, 웹 페이지/연장의 사용 권한으로 사용자 컴퓨터에서 악성 코드를 실행하게 될 수 있다고 말했다.


3. [기사] 구글, 크롬 77의 취약점 8개 패치하려 긴급 업데이트 발표
[https://www.boannews.com/media/view.asp?idx=83766]
최근 발견된 보안 취약점 8개를 해결하기 위해 구글은 크롬 77에 대한 업데이트를 밢표했다. 아래 5개의 취약점은 모두 고위험군으로 분류되었다. 구글은 해당 취약점을 패치한 버전으로 크롬 77.0.3865.120을 윈도우, 맥, 리눅스용을 배포했으며, 모든 플랫폼에서 패치가 요구된다. 
1) CVE-2019-13693 : 인덱스드디비(IndexedDB) 내 UaF 취약점
2) CVE-2019-13694 : WebRTC 요소에서 UaF 취약점
3) CVE-2019-13695 : 오디오 요소에서 UaF 취약점
4) CVE-2019-13696 : V8 요소에서 UaF 취약점
5) CVE-2019-13697 : 교차 출처 크기 유출(cross-origin size leak) 취약점


4. [기사] Charming Kitten Campaign involved new impersonation methods
[https://securityaffairs.co/wordpress/92469/apt/charming-kitten-impersonation-methods.html]
이란과 연결된 APT 그룹 Charming Kitten은 8월에서 9월 사이에 새로운 스피어 피싱 방법을 사용했다. ClearSky의 보안 전문가들은 최근 마이크로소프트가 발견한 미국 대통령 후보, 정부 관계자, 언론인, 그리고 저명한 이란 망명자들을 겨냥한 공격을 분석했으며, Charming Kitten 그룹이 외국 선거에 간섭을 시도한 것은 이번이 처음이기 때문에 그룹 전술의 변화를 의미한다고 지적했다. 이란과 연계된 Charming Kitten 그룹(APT35, Phosphorus, Newscaster, Ajax Security Team)은 2014년 iSight의 전문가들이 소셜미디어를 이용해 이란 해커들이 조직한 가장 치밀한 넷 기반 스파이 활동을 설명하는 보고서를 발표해 화제가 됐으며, 전문가들은 해당 그룹이 적어도 2011년부터 활동한 것으로 보고 있다. 또한, 전문가들은 8개의 새로운 도메인과 알려지지 않은 도메인을 식별했으며, 해당 도메인에는 모두 공격에 관련된 '.site'TL이 있다. 


5. [기사] Talos experts found 11 flaws in Schneider Electric Modicon Controllers
[https://securityaffairs.co/wordpress/92456/hacking/schneider-electric-modicon-flaws.html]
Talos 전문가는 Schneider Electric의 Modicon 프로그래머블 로직 컨트롤러 모델에 영향을 미치는 11가지 보안 결함을 발견했다. 영향을 받는 모델은 Modicon M580, M340, BMENOC 0311, BMENOC 0321, Quantum, Premium 및 Modicon BMxCRA 및 140CRA이다. TFTP 및 REST API의 취약점은 CVE-2019-6841과 CVE-2019-6851 사이의 코드를 통해 추적되었으며, 공격자는 영향을 받는 장치에 특수하게 조작된 요청을 보내 취약점을 악용할 수 있다. CVE-2019-6851로 추적 된 TFTP 프로토콜의 취약점은이 프로토콜을 사용할 때 컨트롤러에서 정보가 공개될 수 있는 파일 및 디렉토리 정보 노출 문제이다. REST API는 CVE-2019-6848, CVE-2019-6849, CVE-2019-6850의 세 가지 취약점에 영향을 받는다. 

첨부파일 첨부파일이 없습니다.
태그 Firefox  Chrome  Charming Kitten