CVE-2015-8673, CVE-2015-8769, CVE-2016-1231
CVE-2016-1232, CVE-2016-1715

[보안뉴스 문가용] 현지 시각으로 1월 12일, 우리나라 시간으로는 대략 12일에서 13일로 넘어오는 밤 사이에 미국의 National Vulnerability Database을 통해 발표된 취약점들이다.



1. CVE-2015-8673
화웨이 TE30, TE40, TE50, TE60 멀티미디어 동영상 컨퍼런싱 엔드포인트 V100R001C10SPC100 이전 버전에 있는 취약점으로 암호를 바꿀 때 예전 암호를 입력할 필요가 없게 설정되어 있다(Debug용 계정에서). 물리적으로 가까이에 있는 공격자가 암호를 마음대로 바꿀 수 있게 된다.

2. CVE-2015-8769
줌라! 3.4.7 이전의 3.x 버전에 있는 SQL 인젝션 취약점으로 공격자가 임의의 SQL 명령을 실행할 수 있게 해준다.

3. CVE-2016-1231
Prosody 0.9.9 이전의 0.9.x 버전에 있는 HTTP 파일 서빙 모듈(mod_http_files) 내 Directory Traversal 취약점으로 원격의 공격자가 ..(점점)을 통해 임의의 파일을 읽을 수 있도록 해준다.

4. CVE-2016-1232
Prosody 0.9.9 버전에 있는 mod_dialback 모듈에 있는 취약점으로 서버 대 서버 다이얼백 인증 시 필요한 비밀 토큰을 위한 임의의 값을 제대로 생성하지 않는다. 공격자가 브루트포스 공격을 통해 서버 스푸핑을 할 수 있게 된다.

5. CVE-2016-1715
윈도우용 McAfee Application Control 6.1.0, 6.1.1, 6.1.2. 6.1.3, 6.2.0 버전에 있는 swin.sys 커널 드라이버의 취약점으로 로컬의 사용자가 메모리 커럽션과 시스템 크래쉬 등의 DoS 공격을 할 수 있게 해주거나 768 syscall을 통해 높은 권한을 가질 수 있게 해준다.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>