CVE-2015-8853, CVE-2016-1886, CVE-2016-1887
CVE-2016-4020, CVE-2016-4575

[보안뉴스 문가용] 현지 시각으로 5월 25일, 우리나라 시간으로는 대략 25일에서 26일로 넘어오는 밤 사이에 미국의 National Vulnerability Database을 통해 발표된 취약점들이다.



1. CVE-2015-8853
Perl 5.24.0 이전 버전의 regexec.c의 (1) S_reghop3, (2) S_reghop4, (3) S_reghopmaybe3 함수에 있는 취약점으로 공격자가 조작된 utf-8 데이터를 통해 DoS 공격을 할 수 있게 해준다.

2. CVE-2016-1886
FreeBSD p42 이전의 9.3 버전, p34 이전의 10.1 버전, p17 이전의 10.2 버전, p3 이전의 10.3 버전에 있는 sys/dev/kbd/kbd.c의 genkbd_commonioctl 함수에 있는 정수 서명 오류로 로컬의 사용자가 민감한 정보를 커널 메모리로부터 취득하거나 DoS 공격을 하거나, 권한을 상승시킬 수 있게 해준다.

3. CVE-2016-1887
FreeBSD p42 이전의 9.3 버전, p34 이전의 10.1 버전, p17 이전의 10.2 버전, p3 이전의 10.3 버전에 있는 sys/dev/kbd/kbd.c의 genkbd_commonioctl 함수에 있는 정수 서명 오류로 로컬의 사용자가 DoS 공격을 하거나 권한을 상승시킬 수 있도록 해준다.

4. CVE-2016-4020
QEMU의 hw/i386/kvmvapic.c의 patch_instruction 함수에 있는 취약점으로 imm32 변수를 시작하지 않는다. 이로써 로컬의 게스트 OS 관리자가 호스트의 스택 메모리로부터 민감한 정보를 취득할 수 있게 된다.

5. CVE-2016-4575
AL10C00B211 이전의 AL10C00 버전, AL10C92B211 이전의 AL10C92 버전, AL00C00B361 이전의 AL00C00 버전, CL00C92B361 이전의 CL00C92 버전, TL00HC01B361 이전의 TL00HC01 버전, UL00C00B361 이전의 UL00C00 버전 소프트웨어가 설치된 Huawei PLK 스마트폰의 이메일 APP에 있는 XSS 취약점으로 원격의 공격자가 임의의 웹 스크립트나 HTML을 주입할 수 있게 된다.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

- 국내 최대 규모의 개인정보보호 컨퍼런스 PIS FAIR 2016 - 6월 9일(목)~10일(금) 개최
- 공공·금융·민간 CPO, 개인정보처리자, 보안담당자 등 4,000여명 참석
- 공무원상시학습, CPPG, CISSP, CISA, ISMS등 관련 교육이수(최대 16시간) 인정
- CPO, 개인정보처리자, 보안담당자 등 사전 무료 참관등록(www.pisfair.org/2016/)