LGPL Crypto 라이브러리인 Libgcyrpt 패키지에서 보안 취약점이 발견되었습니다. Libgcrypt에서 사이트 채널을 통한 공격이 가능하여 로컬 공격자가 이 공격을 이용하여 RSA 개인 키를 복구할 수 있는 보안 취약점 CVE-2017-7526이 발견되었습니다. 아울러 로컬 공격자가 위 공격을 이용하여 EdDSA 개인 키를 복구할 수 있는 보안 취약점 CVE-2017-9526도 함께 발견되었습니다. 참고로 CVE-2017-9526은 우분투 16.04 LTS 이상에서만 발견된 보안 취약점입니다.
<Debian>
데비안에서는 위 보안 취약점과 관련하여 다음과 같이 발표하였습니다.
데비안 9 Stretch (Stable)
libgcrypt20 1.7.6-2+deb9u1 에서 보안 패치 완료 (fixed)
데비안 8 Jessie (OldStable) / 리눅스민트데비안에디션(LMDE) 2
libgcrypt20 1.6.3-2+deb8u4 에서 보안 패치 완료 (fixed)
데비안 7 Wheezy
현재 최신버전인 libgcrypt11 1.5.0-5+deb7u5 에서 보안 취약점이 존재하나, 아직 보안 패치가 없음 ㅜㅜ
<Ubuntu>
우분투(리눅스민트, 하모니카 등 포함)에서는 위 보안 취약점과 관련하여 다음과 같이 발표하였습니다.
우분투 17.04
libgcrypt20 1.7.6-1ubuntu0.1 에서 보안 패치 완료 (released)
우분투 16.10
libgcrypt20 1.7.2-2ubuntu1.1 에서 보안 패치 완료 (released)
우분투 16.04 LTS / 리눅스민트 18-18.2
libgcrypt20 1.6.5-2ubuntu0.3 에서 보안 패치 완료 (released)
우분투 14.04 LTS / 리눅스민트 17.3 / 하모니카 2.1
libgcrypt11 1.5.3-2ubuntu4.5 에서 보안 패치 완료 (released)
우분투 12.04 LTS / 리눅스민트 13
지원종료
보안 패치가 발표된 데비안 및 우분투(리눅스민트, 하모니카 등 포함) 사용자께서는 터미널에서 다음의 명령어를 통해 보안 업데이트를 하기 바랍니다.
$ sudo apt-get update && sudo apt-get -y dist-upgrade
*위 정보는 우분투 12.04 ESM(Extended Security Maintenance)을 포함하지 않습니다.
*위 정보는 작성자가 주로 사용하는 리눅스 배포판에 대해서만 작성하였습니다. 그 외의 배포판은 알아서 하셔야 합니다.
<참고>
https://www.debian.org/security/2017/dsa-3901
https://security-tracker.debian.org/tracker/CVE-2017-7526
https://www.ubuntu.com/usn/usn-3347-1/
http://people.ubuntu.com/~ubuntu-security/cve/CVE-2017-7526
http://people.ubuntu.com/~ubuntu-security/cve/CVE-2017-9526
'IT & Security > 리눅스 :: 보안' 카테고리의 다른 글
리눅스 ncurses 다중 보안 취약점 CVE-2017-11112, CVE-2017-11113 (0) | 2017.07.09 |
---|---|
리눅스 systemd 보안 취약점 CVE-2017-1000082 (0) | 2017.07.09 |
Linux Kernel 보안 취약점 CVE-2017-8797 - 보안 패치 아직 없음 (0) | 2017.07.04 |
주요 리눅스 배포판 커널 업데이트 3.10.0-514.26.1.el7 (0) | 2017.07.04 |
"Phoenix Talon" in Linux Kernel 취약점 (0) | 2017.07.03 |