| 내 용 |
텔넷(Telnet)과 FTP의 대안으로 사용되는 오픈 소스 툴, 오픈BSD(OpenBSD) OS의 오픈SSH(OpenSSH)에서 중대한 결함이 발견됐다. 보안 전문가들은 IT 관리자들에게 오픈SSH 버전 3.4로 즉시 업그레이드할 것을 권유하고 있다.
CERT CC(CERT Coordination Center)는 경고문에서 오픈SSH 버전 2.3.1p1부터 3.3까지 영향을 미치는 오픈 소스 소프트웨어의 버그에 대해 자세히 설명하고 있다.
리눅스와 유닉스 OS 배포판에 포함된 OpenSSH는 SSH 툴의 무료 버전이다. 텔넷, Rlogin, Rsh, Ftp 프로토콜 대용으로 인기 있다.
CERT는 공격 대응 처리 코드에서 공격자들이 사용자가 sshd를 운영할 때 임의의 코드를 실행할 수 있게 해주는 두 가지 취약성이 발견됐다고 밝혔다. 이 결함들은 DoS 상황을 일으킬 수도 있다.
첫번째 취약성은 공격 대응 옵션을 보유하고, SKEY나 BSD_AUTH 인증을 사용하는 오픈SSH 버전 2.9.9부터 3.3까지 영향을 미친다. 두번째 결함은 공격 대응 옵션 설정에 관계없이 쌍방향 키보드 인증을 사용하는 PAM 모듈에 영향을 미친다.
또 다른 버그는 공격 대응 인증 동안 받는 응답 수와 관련된 버퍼 오버플로우(buffer overflow)다.
ISS(Internet Security Systems)도 경고문을 발표해 무료 오픈SSH 툴을 사용하는 IT 관리자들에게 즉시 버전 3.4로 업그레이드하거나 임시 방편으로, 사용하지 않는 오픈SSH 인증 절차를 무력화하도록 권유했다.
ISS는 잠재적으로 취약한 부분을 감지하는 오픈Ssh러닝(OpenSshRunning) 체크를 포함하는 인터넷 스캐너 X-프레스 업데이트 6.13(Internet Scanner X-Press Update 6.13)을 적용할 것을 권유했다. 이 체크는 이 곳에서 다운로드할 수 있다. 또, 시스템 관리자들에게 오픈SSH 데몬(daemon) 구성 파일 내의 챌린지-리스판스(Challenge-Response) 인증 파라미터를 억제해 사용하지 않는 오픈SSH 인증 절차를 무력화하도록 촉구했다.
ISS는 \"이 파일이름과 경고는 대체로 ‘/etc/ssh/sshd_config’이며, 이 파라미터를 억제하려면 이 라인을 찾아내 ‘ChallengeResponseAuthentication no’로 바꿔야 한다\"고 말했다. 또, 변화를 적용시키려면 ‘sshd’ 프로세스를 다시 시작해야 한다고 덧붙였다.
|
|
(IP : 211.245.194.133) 
