MS 애저 HD인사이트 사용자들이 반드시 패치해야 하는 취약점 세 개의 정보 공개돼

2024-02-08 16:37
  • 카카오톡
  • 네이버 블로그
  • url
빅데이터 분석에 자주 활용되는 플랫폼에서 취약점이 나왔고, 그에 대한 세부 내용이 오늘 공개됐다. 패치는 이미 수개월 전에 나왔으니 아직 적용하지 않았다면 빠르게 적용해야 할 것으로 보인다.

[보안뉴스 = 문가용 기자] 마이크로소프트 애저의 빅데이터 분석 서비스인 HD인사이트(HDInsight)에서 세 가지 고위험군 취약점이 발견됐다. 하나는 디도스, 두 개는 권한 상승을 가능하게 해 준다고 한다. 이와 관련하여 보안 업체 오카시큐리티(Orca Security)가 상세히 발표했다.


[이미지 = gettyimagesbank]

세 가지 버그
취약점 중 하나는 아파치 암바리(Apache Ambari)라는 오픈소스 도구와 관련이 있다. 아파치 암바리는 아파치 하둡(Apache Hadoop) 클러스터 구축과 관리, 모니터링을 보다 간편하게 할 수 있게 해 주는 무료 도구다. 이 취약점은 CVE-2023-38156으로 10점 만점에 7.2점을 받은 고위험군 취약점이다. 익스플로잇에 성공할 경우 공격자는 리버스셸을 피해자의 시스템에 심어 권한을 가장 높게 상승시킬 수 있게 된다고 한다.

나머지 두 개의 취약점은 아파치 우지(Apache Oozie)와 관련이 있다. 아파치 우지는 하둡의 워크플로우 스케줄러이다. 둘 중 CVE-2023-36419가 조금 더 심각한데, 사용자 입력값을 제대로 확인하지 않기 때문에 발생한다. MS는 8.8점을 주었고, NIST는 9.8점을 주었다. 다른 하나 역시 입력값 확인 미비 때문에 야기되는 문제인데, 중위험군으로 분류되고 있다. 아파치 우지가 느려지거나 멈추게 만든다.

세 개의 취약점, 왜 문제가 되는가
오카시큐리티의 연구 수석인 바 카두리(Bar Kaduri)는 “이번에 발견된 취약점 세 개가 데이터 처리 시스템과 관련이 있기 때문에 빠르게 처리되어야 한다”고 강조한다. “HD인사이트는 빅데이터 분석에 활용되는 플랫폼입니다. 어마어마한 양의 데이터가 쉴새 없이 오가는 장소라는 뜻이죠. 빅데이터 분석을 실제로 진행하는 곳은 대부분 국제적 대기업이나 중요 정부 기관들이라는 걸 생각해 보면, 현재 빅데이터 처리 플랫폼에 존재하는 데이터들은 중요도와 품질의 측면에서도 꽤나 가치가 크다고 해야 합니다.”

실제 애저 HD인사이트를 사용하는 기업은 유니레버, 메트라이프, E&Y 등이다.

오카시큐리티가 이번에 취약점에 대한 세부 내용을 발표했다는 건 이미 수개월 전에 패치가 끝났다는 의미다. 일반적으로 보안 업계는 취약점 제보를 소프트웨어 제조사에 은밀하게 한 후, 취약점이 나오고서도 석 달 정도를 통상 기다렸다가 세부 내용을 공개하기 때문이다. MS가 HD인사이트의 취약점을 패치한 건 10월 26일의 일이다. MS와 오카시큐리티는 사용자들에게 “최대한 빨리 이 최신 패치를 적용하라”고 권고하고 있다.

3줄 요약
1. 클라우드 기반 빅데이터 플랫폼에서 세 가지 취약점 발견됨.
2. 패치된 것이 이미 10월의 일이니 사용자는 최신 버전으로 업데이트 하면 됨.
3. 양질의 정보를 다루는 플랫폼이라 시급한 패치 요구됨.

[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

헤드라인 뉴스

TOP 뉴스

이전 스크랩하기


과월호 eBook List 정기구독 신청하기

    • 하이크비전

    • 인콘

    • 모토로라시스템

    • 마이크로시스템

    • 다봄씨엔에스

    • 아이디스

    • 씨프로

    • 웹게이트

    • 씨게이트

    • 한화비전

    • ZKTeco

    • 비엔에스테크

    • 비엔비상사

    • 원우이엔지
      줌카메라

    • 지인테크

    • 비전정보통신

    • 이화트론

    • 다누시스

    • 테크스피어

    • 렉스젠

    • 슈프리마

    • 혜성테크윈

    • 시큐인포

    • 미래정보기술(주)

    • 엔토스정보통신

    • 아이서티

    • 경인씨엔에스

    • 메인아이티

    • 성현시스템

    • 효성인포메이션시스템

    • 다후아테크놀로지코리아

    • 디비시스

    • 아이리스아이디

    • 한국씨텍

    • 지오멕스소프트

    • 이오씨

    • 투윈스컴

    • 이에스티씨

    • (주)우경정보기술

    • 살토시스템

    • 유니뷰코리아

    • 세연테크

    • 이앤엠솔루션

    • 위트콘

    • 트루엔

    • 엔텍디바이스코리아

    • 포엠아이텍

    • 유에치디프로

    • 주식회사 에스카

    • 넥스트림

    • 포티넷

    • 휴네시온

    • 안랩

    • 나온웍스

    • 클래로티

    • 앤앤에스피

    • 이글루코퍼레이션

    • 노조미네트웍스

    • 카스퍼스키랩코리아

    • 한드림넷

    • 신우테크
      팬틸드 / 하우징

    • 에프에스네트워크

    • 네이즈

    • 케이제이테크

    • 셀링스시스템

    • 사라다

    • 아이엔아이

    • 풍림무약주식회사

    • 새눈

    • 앤디코

    • 태정이엔지

    • 네티마시스템

    • 에이앤티코리아

    • 모스타

    • 미래시그널

    • 유투에스알

    • (주)일산정밀

    • HGS KOREA

    • 에스에스티랩

    • 에이앤티글로벌

    • 주식회사 알씨

    • 창성에이스산업

    • 엔에스티정보통신

    • 보문테크닉스

    • 엘림광통신

    • 메트로게이트
      시큐리티 게이트

    • 현대틸스
      팬틸트 / 카메라

    • 티에스아이솔루션

    • 두레옵트로닉스

    • 지에스티엔지니어링
      게이트 / 스피드게이트

    • 지와이네트웍스

    • 구네보코리아주식회사

    • 동양유니텍

    • 포커스에이치앤에스

    • 엔시드

    • 엠스톤

    • 글로넥스

    • 유진시스템코리아

    • 카티스

    • 세환엠에스(주)

Copyright thebn Co., Ltd. All Rights Reserved.

MENU

회원가입

PC버전

닫기