MS 1906 보안 업데이트 특징

2019.6.11일 마이크로소프트가 정기 보안 패치를 통해 고친 취약점은 수십 개에 달한다. 그 중에서 유심히 볼 만한 것 몇 개만 추려 봤다.

CVE-2019-0990 스크립팅 엔진 정보 유출 취약성

엣지 브라우저의 스크립팅 엔진이 메모리에 로드된 개체를 잘못 처리해서 생긴다. 이때 메모리의 일부 잔존 데이터(uninitialized memory)가 노출될 수 있다. 이 정보는 나중에 해커가 피해자의 PC를 공격하는데 도움이 될 수 있다.

이 취약점은 악성 웹 페이지를 열어 보는 것만으로 작동된다. 심각도가 치명적(critical)으로 높으며, 실제 악용 가능성도 크다(more likely).

CVE-2019-1081 Microsoft 브라우저 정보 유출 취약성

위의 0990과 비슷한데, 엣지 뿐만 아니라 인터넷 익스플로러에도 해당된다는 점이 다르다.

정보 노출, 원격코드 실행 같은 브라우저의 취약점은 매번 꾸준히 발견되고 있다. 대체로 심각성과 악용 가능성 모두 높은 편으로, 위험성이 크다.

재미있는 것은, 0990과 1081은 직전 보안 패치로 인해 생긴 취약점이란 것이다. 구 버전에는 해당되지 않는다.

CVE-2019-1034 Microsoft Word 원격 코드 실행 취약성

워드가 메모리에 로드된 개채를 잘못 처리할 때 발생한다. 이를 악용하면 해커는 현재 로그인된 사용자의 권한으로, 임의의 코드를 실행할 수 있다.

특별하게 조작된 악성 문서를 열기만 하면 취약점이 작동한다. 사용자의 별다른 상호작용은 필요치 않다.

이와 같은 취약점 역시 매번 꾸준히 발견되고 있다. 오피스 문서에서 매크로만 허용하지 않으면 안전하다고 생각할 수 있지만, 그렇지 않다. 악성 rtf 파일, 수식편집기를 개체로 삽입한 문서 등 매크로와 관련 없는 악성 오피스 문서는 많다. 이에 대한 방어 장치도 갖춰져 있지만, 항상 효과가 있는 것은 아니다(관1).

마이크로소프트는 이런 취약점들에 대해 악용 가능성을 낮게(less likely) 평가하는 경향이 있다. 그러나 이들을 악용하는 악성코드는 실제로 적지 않게 나타나고 있다.

CVE-2019-1031 Microsoft Office SharePoint XSS 취약성

셰어포인트는 자료 공유와 공동 작업을 위한 클라우드 서버를 구축하는 프로그램이다. 여기에서 권한 없이 외부 스크립트를 실행할 수 있는 XSS(cross-site script) 취약점이 발견됐다.

셰어포인트 서버가 웹 요청을 제대로 검증하지 않아서 발생한다. 해커는 특별하게 조작된 웹 요청을 보내기만 하면 된다. 해커는 현재 사용자의 권한으로, 임의의 스크립트를 실행할 수 있다.

몇 가지 예를 들면 다음과 같다.
접근 권한이 없는 파일을 읽을 수 있다.
피해자의 자격증명을 사용하여 그인 것처럼, 셰어포인트 사이트에서 행동할 수 있다. 허용 옵션을 바꾸거나 콘텐츠를 삭제하는 것 등도 가능하다.
피해자의 브라우저에 악성 콘텐츠를 주입할 수 있다.


관련 자료

1. 오래된 MS Office의 RTF 취약점, 여전히 위협적

참고 자료

1. CVE-2019-0990 | Scripting Engine Information Disclosure Vulnerability
2. CVE-2019-1081 | Microsoft Browser Information Disclosure Vulnerability
3. CVE-2019-1034 | Microsoft Word Remote Code Execution Vulnerability
4. CVE-2019-1031 | Microsoft Office SharePoint XSS Vulnerability