CVE-2016-7152, CVE-2016-7153

[보안뉴스 문가용] 현지 시각으로 9월 6일, 우리나라 시간으로는 대략 6일에서 7일로 넘어오는 밤 사이에 미국의 National Vulnerability Database을 통해 발표된 취약점들이다.



1. CVE-2016-7152
HTTPS 프로토콜이 콘텐츠의 길이에 대한 정보를 제공할 때 TCP congestion 창의 역할을 고려하지 않는다. 그래서 원격의 공격자들이 웹 브라우저 환경설정을 통해 평문 데이터를 취득할 수 있게 해준다. 일명 HEIST 공격과 관련이 있기도 하다. CVE-2016-7153과는 다른 취약점이다.

2. CVE-2016-7153
HTTP/2 프로토콜이 콘텐츠의 길이에 대한 정보를 제공할 때 TCP congestion 창의 역할을 고려하지 않는다. 그래서 원격의 공격자들이 웹 브라우저 환경설정을 통해 평문 데이터를 취득할 수 있게 해준다. HEIST 공격과 관련이 있으나 CVE-2016-7152와는 다른 취약점이다.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>