Part 9 : OWASP 2017 TOP 10 RC2 A9 - 알려진 취약점이 있는 컴포넌트 사용[Using Components with Known Vulnerabilities]
개발/OWASP 2017 2020.12.17 댓글 임통끼
A9 : 알려진 취약점이 있는 컴포넌트 사용[Using Components with Known Vulnerabilities]
* 정의
간단히 말하자면 취약점이 발견된 이전 버전을 계속 사용하고 있는 것으로 "최신 버전 업데이트 미흡" 이라고 말할 수 있습니다. 일부 프로그램의 경우 자체적으로 업데이트를 권고하고 또한 업데이트를 하는 것이 쉽지만, 현재 운영중인 대형 서버와 같이 실시간으로 업데이트를 하기 어려운 경우에 자주 발생하기 쉬운 취약점입니다.
- 영향
취약점이 있는 컴포넌트를 사용하면 인젝션, 접근통제 우회, XSS 등을 포함한 모든 종류의 취약점들이 가능해집니다. 공격자가 시스템을 완전하게 장악하고 정보를 탈취할 수 있을 정도까지도 가능합니다.
* 대응방법
1. 본인이 만들지 않는 컴포넌트를 사용하지 않는 것이 방법이지만, 현실적으로는 사용 중인 것들에 대한 최신 보안 업데이트를 하며 사용하지 않는 기능들을 최대한 비활성화 하는 것이 좋습니다.
2. CVE 및 NVD와 같은 소스에서 컴포넌트의 취약점을 지속적으로 모니터링 합니다. 소프트웨어 컴포넌트 분석 툴을 사용하여 프로세스를 자동화하는 것이 좋습니다.
3. 모든 조직은 어플리케이션이나 포트폴리오의 수명주기 동안 업데이트 또는 컴포넌트 변경 사항을 모니터링, 검토 및 적용하기 위한 지속적인 계획이 있는지 확인해야 합니다.
* 실제 사례
|
[보안뉴스] 다음 팟플레이어 임의코드 실행 취약점 발견 2014/03/11 20:41 팟플레이어 1.5.44465 이하 버전 사용자 최신버전 업데이트 필수
다음 사에서 개발한 동영상 재생 프로그램 팟플레이어에서 임의코드 실행 취약점이 발견돼 사용자들의 주의가 요구된다. 만약 공격자가 이번 취약점을 악용해 MKV(matroska) 동영상 파일을 제작한 후 사용자가 열람하도록 유도한다면 사용자는 악성코드 감염으로 인해 정보유출, 시스템 파괴 등의 피해를 입을 수 있다.
출처 : http://www.boannews.com/media/view.asp?idx=40169&kind=1 |
그럼 Part 10으로 넘어갑니당 ~
댓글