la Nube | 라 누베

Microsoft has released a security update on January 3 that mitigates security issue in several modern CPUs. This update comes with new requirements that might break compatibility with specialized applications such as security products. 마이크로소프트(MS)가 인텔, ARM, AMD CPU의 멜트다운 & 스펙터 취약점을 '완화(경감)'하는 패치를 1월 3일에 내놓았습니다. 이 업데이트는 백신 제품과 같은 특별한 앱과의 호환성을 망가뜨릴 수 있어서 새로운 요구사항이 존재합니다. As per Microsoft’s require..

List of Meltdown and Spectre Vulnerability Advisories, Patches, & Updates -- Amazon Web Service (AWS, 아마존 웹 서비스) 아마존의 AWS는 고객들에게 빨리 패치할 것을 권장하고 있으며,업데이트가 완료된 아마존리눅스(CentOS 기반)도 사용할 수 있다고 발표하였습니다.https://aws.amazon.com/security/security-bulletins/AWS-2018-013/ -- AMD AMD에서는 자사의 CPU와 관련하여 다음과 같이 발표하였습니다.https://www.amd.com/en/corporate/speculative-execution 1번째 취약점(스펙터) : 소프트웨어 / 운영체제 업데이트를 통하여 해결..

Mozilla Confirms Web-Based Execution Vector for Meltdown and Spectre AttacksHere's How to Enable Chrome "Strict Site Isolation" Experimental Security Mode 웹브라우저 중 하나인 파이어폭스를 개발하는 모질라는 사용자들이 방문하는 웹페이지로부터 정보를 추출하는 과정에서 자바스크립트 파일과 같은 웹 컨텐츠를 통하여, 인텔 CPU 등에서 발견된 멜트다운 & 스펙터 취약점이 악용될 수 있다는 것을 공식적으로 확인하였습니다. 이번에 발견된 이 취약점을 악용하면, 컴퓨터의 커널 메모리로부터 데이터를 읽을 수 있거나(멜트다운), 다른 앱이 다루는 데이터 역시 읽을 수 있다고(스펙터) 알려져 있습니다..

구글 크롬의 버전이 63.0.3239.132 로 업데이트되었습니다.자세한 내역은 나오지 않았습니다. 버그 수정이 아닐까 생각했습니다만... (릴리즈 노트 : https://chromereleases.googleblog.com/2018/01/stable-channel-update-for-desktop.html ) -- 모질라 파이어폭스의 버전도 57.0.4 로 업데이트되었습니다.특히, 파이어폭스는 인텔 CPU 등의 멜트다운 & 스펙터 취약점과 관련한 보안 패치입니다.웹브라우저 차원에서도 해당 취약점에 대한 대비를 하는 것이 아닌가 생각합니다. (릴리즈 노트 : https://www.mozilla.org/en-US/firefox/57.0.4/releasenotes/ ) -- 새로운 크롬 업데이트가 오늘 발표..

인텔 CPU 등의 Kernel Side-Channel Attacks 주요 리눅스 패치 여부http://la-nube.tistory.com/307 위 게시글에 대하여 주요 리눅스 패치 상태를 다음과 같이 업데이트합니다. -- 우분투 16.04 LTS Xenial Xerus / 리눅스민트 18.3 Sylvia / 하모니카 커뮤니티 배포판 MoorDev 1.0 - 커널 4.4 : linux 4.4.0-108.131 에서 linux 4.4.0-109.132 로 업데이트 linux (4.4.0-109.132) xenial; urgency=low * linux: 4.4.0-109.132 -proposed tracker (LP: #1742252) * Kernel trace with xenial 4.4 (4.4.0-1..

결론부터 말씀드리면, 이미 알려진 바와 다르게,데비안, 우분투 등 주요 리눅스 배포판에서는아직 긴급 보안 패치가 이루어지지 않았습니다. -- 지난 1월 3일에 레딧 커뮤니티를 통해 알려진 인텔 CPU 취약점과 관련하여,레드햇에서는 Kernel Side-Channel Attacks 라는 용어를 사용하고 있습니다.아울러 Meltdown & Spectre 라는 용어도 사용되고 있습니다. 이번 취약점의 등급은 다음과 같습니다. - CVE-2017-5753 : High - CVE-2017-5715 : High - CVE-2017-5754 : Critical 이 중에서 CVE-2017-5754 (Meltdown, 멜트다운)는 인텔 CPU에서만 영향을 받는 취약점이며,AMD CPU에서는 영향을 받지 않습니다. 이 취..

마이크로소프트(Microsoft; MS) 윈도(Windows)의 2017년 12월 정기 보안 업데이트가 나왔습니다.MS에서는 한국시간으로 매월 2번째 화요일의 다음 날에 정기 보안 업데이트를 발표합니다. 이 업데이트에 어떤 내용들이 있는가에 대해서는 한국인터넷진흥원이 발표한 글을 참고하기 바랍니다.☞ MS 12월 보안 위협에 따른 정기 보안 업데이트 권고 : https://www.krcert.or.kr/data/secNoticeView.do?bulletin_writing_sequence=26886 제가 사용하는 윈도10 버전1703(레드스톤2)에서도 2개의 업데이트를 완료했습니다.12월까지의 누적 업데이트와 Adobe Flash Player의 보안 업데이트네요. 윈도7, 윈도8.1, 윈도10 등 모든 윈..

http://blog.alyac.co.kr/1440 "error state" 상태에서 SSL_read() 혹은 SSL_write() 함수를 호출할 때, "error state"메커니즘의 버그 때문에 원래의 의도대로 동작하지 않게 됩니다. 이 때문에 원래 데이터가 OpenSSL을 통해 데이터가 암/복호화 되어야 하는데, 더 이상 SSL/TLS 레이어에서 암/복호화 처리가 불가하게 됩니다. -본문 중 일부 -- 보안 취약점 CVE-2017-3737에 대하여... 데비안 9 Stretch (Stable) - openssl 1.1.0f-3+deb9u1 에서 보안 패치가 완료됨 (fixed) - openssl1.0 1.0.2l-2+deb9u1 은 취약하나, 아직 보안 패치가 없음 (vulnerable) 데비안 8..

윈도, 맥OS, 리눅스(64비트)를 위한 구글 크롬의 63 버전에 대한 업데이트가 나왔습니다.업데이트된 버전은 63.0.3239.84 입니다. 이번 업데이트에서는 37개의 보안 취약점에 대하여 보안 패치가 이루어졌습니다.그 중에서도 다음과 같이 외부의 연구자가 발견한 보안 취약점에 대하여,외부의 연구자는 아직 정해지지 않은 금액(TBD) 외에는 최고 10,500달러의 상금을 받는다고 합니다.(오~!) [$TBD][777728] Critical CVE-2017-15398: Stack buffer overflow in QUIC.Reported by Ned Williamson on 2017-10-24 [$10500][778505] Critical CVE-2017-15407: Out of bounds write..

http://blog.alyac.co.kr/1433 2017년 9월, Samba SMB1 프로토콜에서 UAF 취약점이 발견되었으며, 해당 취약점은 Samba 4.0.0 이전 버전들이 영향을 받습니다. 취약점 번호는 CVE-2017-14746입니다. 그리고 2017년 11월 21일, RedHat은 메모리 유출 취약점을 발견하였습니다. 해당 취약점은 공격자가 악의적으로 만든 request를 영향받는 버전의 Samba를 사용하는 서버에 전송하여 메모리에 있는 정보들을 유출시킬 수 있습니다. 취약점 번호는 CVE-2017-15275입니다. -본문 중 일부 -- 데비안에서는 위 보안 취약점과 관련하여 다음과 같이 발표하였습니다. 데비안 9 Stretch (Stable) - samba 2:4.5.12+dfsg-2+..