보안 릴리스에 따르면 오늘날 웹은 두 가지 심각한 취약점이 발견된 후 다소 혼란스러워졌습니다. 아르스 테크니카. 첫 번째는 VPN에서 IoT 장치에 이르기까지 모든 것에 영향을 미칠 수 있는 암호화가 매우 약한 TLS 인증서와 관련이 있습니다. 다른 하나는 WordPress 및 Drupal을 포함한 CMS 시스템에 영향을 미치는 심각한 PHP 프로그래밍 언어 취약점입니다. 보안 전문가들은 두 문제 모두 대규모 공격으로 이어질 수 있으며 대규모 정리 작업이 필요할 수 있다고 말했습니다.
gPHP 재단은 X에서 심각도 등급이 10점 만점에 9.2점인 두 가지 중요한 취약점에 대한 보안 패치를 출시한다고 밝혔습니다. 오늘 14:00 UTC(10AM ET)에 출시되기 전에 그룹은 “PHP 사용자는 업데이트를 준비할 것을 권장합니다”라고 밝혔으며 “세부 사항이 공개되거나 활성 악용 증거가 되면 조기 릴리스”를 발표할 것이라고 덧붙였습니다.
이 권고는 WordPress, MediaWiki, Symphony, Drupal 및 기타 PHP 기반 사이트의 최신 버전을 포함한 웹 서버에서 코드를 실행하는 PHP2Shell이라는 도구의 비디오를 보여주는 보고서에 이어집니다. 보안 회사인 watchTowr는 취약점을 확인했으며 이 취약점이 PHP 5(2004) 이후의 모든 버전에 영향을 미친다고 주장합니다. “확인되지 않은 보고서에 따르면 이 취약점으로 인해 공격자가 PHP를 실행하는 서버에서 자신의 코드를 실행하여 잠재적으로 이를 제어할 수 있게 됩니다.”라고 watchTowr의 공격에 대한 FAQ는 명시되어 있습니다.
또 다른 기업인 산섹(Sansec)은 “대량 공격이 공개 후 15분 이내에 시작될 것”으로 예상한다고 밝혔다. 이 모든 문제로 인해 웹 관리자는 문제를 패치하기 위해 안간힘을 쓸 가능성이 크므로 일부 PHP 기반 웹사이트는 해당 문제가 발생하는 동안 잠시 다운될 수 있습니다.
TLS 인증서의 또 다른 문제는 완전히 다른 배설물 봉투입니다. 인도에 본사를 둔 eMudhra라는 회사는 중간 CA 인증서 중 8개가 “Mozilla, Microsoft, Apple 및 Chrome 루트 프로그램과 많은 다운스트림 신뢰 저장소에서 신뢰하는 루트에 연결”되어 손상되었다고 밝혔습니다. 문제는 개인 키가 취약하여 공격자가 다양한 웹사이트와 앱에 대한 자격 증명을 위조할 수 있다는 것입니다.
손상된 개인 키 크기는 일반적인 384비트가 아닌 3~8비트 범위였습니다. 구체적으로 eMudhra가 사용하는 개인 키는 4, 56, 66, 115, 155, 156, 230 및 237입니다. 해커 뉴스 및 기타 보고서. 이를 통해 누구나 256개의 가능한 숫자만 테스트하여 복구할 수 있습니다.
eMudhra 인증서는 Cloudflare와 같은 호스트는 물론 브라우저, 운영 체제, IoT(사물 인터넷) 및 인터넷에 연결되는 기타 장치에서 널리 신뢰되었습니다. 도메인 인증서를 위조하면 공격자는 해당 도메인을 사용하여 서버를 가장하고 트래픽을 가로챌 수 있습니다.
Mozilla, Google 및 Apple은 브라우저의 손상된 인증서를 차단했습니다. 그러나 Mozilla의 보안 전문가인 Dennis Jackson은 macOS 유틸리티가 해지 정보를 확인하지 않기 때문에 손상된 인증서를 계속 신뢰할 수 있다고 경고했습니다. 이는 다른 많은 클라이언트에도 적용됩니다. eMudhra는 8개의 인증서를 취소하고 이를 생성하는 데 사용된 스크립트를 비난했습니다.
현재 가장 큰 위험은 VPN에 있으며, 특히 정부가 적극적으로 트래픽을 가로채려고 하는 경우 더욱 그렇습니다. 그러나 IoT 장치, 유지 관리되지 않는 서버 및 기타 네트워크 부분에도 영향을 미칠 수 있습니다. 암호화 엔지니어 Filippo Valsorda는 “이것은 Heartbleed보다 더 큰 대규모 정리 작업이 될 것입니다”라고 말했습니다. 아르스2014년에 대량 공격을 일으킨 이전 TLS 버그를 참조합니다.
이 주제에 대해 더 알고 싶다면 아래를 참고하세요
