CVE-2015-0235 Linux GHOST Vulnerability

갑자기뜬 Linux관련 대형 취약점에 대해서 한 대형 외국 Security사의 분석보고서를 따라서 분석해보고자 합니다  

- Symantec Security Response

Linux Ghost 취약점(CVE-2015-0235) 보이는 것 처럼 공포스럽지 않다

GHOST는 Shellshock, Heartbleed 처럼 심각한것처럼 보이지만, 여러가지 요인에 의해서 그 심각성은 완화됩니다.

Qualys는 Linux GNU C라이브러리(glibc)에 관한 새로운 취약점을 블로그를 통해서 강조 발표했다. GNU glibc  CVE-2015-0235 취약점은 gethostbyname()을 사용한 __nss_hostname_digits_dots() funtion에서 버퍼오버 플로우가 발생하고, 또한 비인증 유저에 의한 임의의 코드를 실행하는것을 허용한다.

해당 취약점은 2000년 11월에 처음 발표되었으나, 2013년 5월에서야 소스코드가 수정되었다. 그러나 가장 안정적이고, 장기지원하는 리눅스 배포버전들은 주요 리눅스 제공업체에서 2015년 1월 27일에 패치버전을 제공하기 전까지 취약점에 노출되어있었다.

FAQ.

Q: 왜  고스트 취약점이라고 불리우는지?

A: gethostbyname()함수를 호출할때 발생하기 때문에

Q: 해당 취약점의 특징 및 유발요인

A: 주요 리눅스제공업체에서는 해당취약점이 치명적이라고 평가한다. 손상된 시스템에서  사전에

알고있는 어떠한  시스템계정 없이 완전한 권한을 원격의 공격자가 가져갈수 있다.

취약한 glibc 2.2 version은 2000년 11월에 발표되었으나,  대부분의 리눅스 제공 버전은 보안 위협

으로 인식되지 못하면서 현재까지도 위험이 노출되어 있었다.

Q:   GHOST는 Heartbleed와 Shellshock와 어떠한 차이를 보이는지?

GHOST의 취약점은 임의의 실행코드를 허용하기때문에 Heartbleed와 Shellshock와 비슷한 위험이

있는것처럼 보인다. 하지만 GHOST는 몇가지의 완화 요인때문에 보이는것 처럼 심각하지  않다

가장 중요한 이유는  2013년 5월에 해당 리스크를 제거한 새로운 Linux운영시스템 제공이다. 다른 

주요이유는  gethostname 함수는 더이상 사용하지 않은 다는 것이다. 최근의 Application은 IP v6를

지원하는 gethostbyname함수를 사용한다.  어디까지나 gethostname 함수를 사용하는 어플리케이션은

이론적인 위험에 불과하다.

Q: glibc의 어떤 버전이 취약한가?

A:  glibc version 2.2부터 2.17까지 취약하고, version 2.18 ~ 2.20과 2.1.3이하의

버전에서는 취약하지 않다.

Q: 어떤 OS플랫폼이 대상이나 발생가능성이 있나?

• Ubuntu Ubuntu Linux 12.04 LTS i386
• Ubuntu Ubuntu Linux 12.04 LTS amd64
• Ubuntu Ubuntu Linux 10.04 sparc
• Ubuntu Ubuntu Linux 10.04 powerpc
• Ubuntu Ubuntu Linux 10.04 i386
• Ubuntu Ubuntu Linux 10.04 ARM
• Ubuntu Ubuntu Linux 10.04 amd64
• Red Hat Enterprise Linux Desktop 5 client
• Red Hat Enterprise Linux 5 Server
• GNU glibc 2.2
  • S.u.S.E. Linux 7.1 x86
  • S.u.S.E. Linux 7.1 sparc
  • S.u.S.E. Linux 7.1 ppc
  • S.u.S.E. Linux 7.1 alpha
  • S.u.S.E. Linux 7.1
  • Wirex Immunix OS 7+
• Debian Linux 6.0 sparc
• Debian Linux 6.0 s/390
• Debian Linux 6.0 powerpc
• Debian Linux 6.0 mips
• Debian Linux 6.0 ia-64
• Debian Linux 6.0 ia-32
• Debian Linux 6.0 arm
• Debian Linux 6.0 amd64

해당 정보는 Symantec에 의해서 만들어져 있습니다.

http://www.symantec.com/connect/blogs/linux-ghost-vulnerability-cve-2015-0235-not-scary-it-looks