|
MS는 지난 14일 윈도우 및 윈도우용 소프트웨어들이 JPEG파일을 처리하는 과정에서 발생하는 결함을 보완하는 패치를 발표했으며 피해 방지를 위해 이를 설치할 것을 당부했다.
문제가 되고 있는 보안 결함은 JPEG 이미지 포맷을 처리하는 MS의 운영체제나 다른 소프트웨어들과 연관이 있으며 해커는 사용자가 이미지 파일을 실행하는 순간 사용자 컴퓨터에 악성 코드를 실행시킨다. 또한 사용자는 감염된 이미지가 있는 사이트를 방문하기만 해도 감염된다.
보안 전문가들은 문제의 심각성에 대해 언급하며 조만간 이를 악용한 바이러스가 출현할 것을 우려했다.
보안업체 맥아피의 바이러스 연구 매니저 크레이그 쉬무거는 “해커의 공격가능성이 매우 높다”며 “다만 아직 개념을 검증하는 코드(proof-of-concept code:소프트웨어 패치가 출시된 직후 어떤 공격이 가능한지 보여줌)는 발견되지 않았다”고 말했다.
이번 결함은 원도우XP, 윈도우 서버 2003, 오피스 XP SP3, 오피스 2003, 인터넷 익스플로러6 SP1, 프로젝트, 비지오, 픽처잇, 그리고 디지털 이미지 프로 등 최소 10개 이상의 소프트웨어에 존재한다. MS는 웹사이트에 이번 보안결함에 연관된 소프트웨어의 명단을 공개했다. 현재 배포중인 윈도우 XP SP2는 이번 결함의 영향을 받지 않는다.
MS 사고대응센터 보안프로그램 매니저인 스티븐 툴루즈는 "가장 큰 문제는 결함이 연관된 프로그램이 다양하다는 것"이라고 말했다. 따라서 MS는 사용자가 컴퓨터를 업데이트 할 수 있도록 별도의 툴을 개발해야 했다. 윈도우 업데이트 사용자는 웹상에서 오피스 업데이트 툴로 안내돼 다시 이미징과 개발용 애플리케이션 업데이트로 안내된다.
툴루즈는 "현재 사용자들은 좀 더 간편하게 업데이트하기를 원한다. 이러한 요구에 부응하기 위해 업데이트 메카니즘을 구상 중"이라고 말했다.
비슷한 이유로 리눅스 배포업체들도 핵심 운영체제와 오픈소스 커뮤니티가 개발한 다른 애플리케이션을 한 번에 업데이트하는 통합형 업데이트 소프트웨어를 개발했다. 하지만 윈도우용 애플리케이션은 대부분 MS이외의 업체들이 개발한 것으로, 저작권 등의 복잡한 문제들이 걸려있어 통합형 업데이트 개발이 상대적으로 어렵다.
JPEG 이미지 처리와 관련된 이번 결함은 지난 8월에 발견된 이미지 파일의 결함과는 별개로 이미지 파일이 실행될 때 숨겨진 프로그램이 침투할 수 있도록 한다. 8월에 발견된 결함은 리눅스, 윈도우, 맥OS X 등에서 실행되는 PNG(Portable Network Graphics)를 지원하는 범용 코드 라이브러리에 관한 것이었다. JPEG와 PNG는 웹에서 광범위하게 사용되는 이미지 포맷이다.
MS는 지난 4월부터 통지 프로그램(notification program)을 시행하고 있는데 이것은 비밀 준수 계약방식으로 이뤄지며 이 프로그램 참여자는 결함발생과 관련한 MS의 공식발표 3일 전에 경고문을 받을 수 있다.
일부 고객들에게만 보안 경고를 미리 통보하는데 대해 툴루즈는 "일부 고객들은 특수목적으로 더욱 심도 있는 정보를 원한다"고 말했다. 툴루즈는 이 프로그램에 대해 더 알고 싶다면 MS 영업담당자에게 연락해야 한다고 전했다. 또한 제공되는 정보는 약점의 개수, 영향 받는 애플리케이션, 그리고 문제의 취약점에 대한 최대 위협 수준은 어느 정도인지 등 제한적이라고 그는 덧붙였다.
MS는 JPEG관련 보안 권고문을 배포했는데, 올해 들어서만 28번째다. MS는 한 권고문에 여러 가지 이슈들을 다 포함시키기도 한다. 지난 4월 중 나온 4개의 권고문은 20개 이상의 취약점이 포함됐다.
MS가 발표한 2번째 패치는 MS 오피스와 퍼블리셔, 워드 및 웍스에 들어있는 워드퍼펙트 파일 전환 기능에서 발견된 취약점을 수정했다. 이 취약점은 ‘중요함(important)’ 단계로 분류됐는데 이것은 MS의 보안 레벨 가운데 가장 상위단계인 ‘심각한 위협(critical)'에 이어 두 번째로 심각하다. 사용자들이 감염된 워드퍼펙트 문서를 열면 이를 틈타 해커들은 이 사용자의 PC를 마음대로 제어할 수 있다.
이 두 번째 취약점에 관한 더 많은 정보를 보려면 MS웹사이트의 권고문을 참고하면 된다. MS는 고객들에게 오피스 업데이트를 이용해 패치를 다운로드 받을 것을 권장한다. @ Robert Lemos (ZDNet Korea)
--------------
머야 이건 ;
|
|
|
|
|
|
|
|
|
338 
1/17 
