CNET News.com은 보안 연구자들이 최근의 모질라 보안 결함을 이용하는 여러 방법을 발견하였다고 주장하는 기사를 보도하였는데, 이 결함은 지난 주 톰 페리스가 발견한 것이다. 페리스는 국제 도메인 이름(IDN) 링크 버퍼 오버플로 취약성(원문)에 대해 발표하였을 때, 그는 별다른 위험한 행동을 하지 않고 모질라 파이어폭스(그리고 영향이 있는 다른 애플리케이션도)의 충돌을 일으키는 코드를 같이 발표하였다. 하지만 페리스는 임의적인 코드를 실행시킬 수 있는 변종 코드를 작성하였다고 주장하였고, 베렌드-얀 웨버를 비롯한 다른 연구자들도 독립적으로 코드를 개발하였다고 발표하였다. 웨버는 그의 코드를 만드는데 겨우 3시간 반이 걸렸다고 주장하였다.
페리스와 웨버는 코드를 공개하지 않았으나, News.com의 기사는 악의적인 공격자들이 이 취약성을 악용하는 공격 방법을 개발하는데 있어 보안 연구자에 비해 크게 뒤떨어지지는 않을 것이라 경고하였다. 페리스의 말에 의하면 이미 몇 사람이 그에게 코드를 요청하였다고 한다. 그는 “이는 트로이안 목마의 개발자들이 저 너머에서 무엇인가를 찾고 있다는 것을 말해줍니다.”고 하였다.
보안 결함이 공개된지 다음 날인 지난 금요일 모질라 재단은 IDN의 지원을 중단하여 코드가 실행되지 못하게 하는 임시적인 패치를 발표하였다. 또한 IDN을 중지하지 않고서도 보안 위협을 제거하는 더 근본적인 패치가 작성되어 며칠 후 발표될 모질라 파이어폭스 1.0.7과 모질라 1.7.12에 포함될 예정이다. 어제 파이어폭스 1.0.7과 모질라 1.7.12의 릴리스 후보판이 테스트 목적으로 공개되었다(원문).
News.com은 앞으로 나올 파이어폭스 1.0.7과 모질라 1.7.12 릴리스에 대한 기사(이는 지난 주의 결함에 대한 네 번째 기사이다)에서 모질라 재단의 기술 이사 마이크 슈뢰퍼의 논평을 포함하였다. 이 기사는 파이어폭스 1.5 베타 1에서 발견된(하지만 파이어폭스 1.0.6과 이전 버전은 해당되지 않음) 연관되는 취약성에 대한 페리스의 주장에 대해서도 언급하는데, 이 취약성은 IDN을 정지하는 패치가 설치된 상태에도 작동한다고 한다. 그는 보안 프로토콜 웹사이트에서 모질라 파이어폭스 1.5 베타 1 IDN 버퍼 오버플로란 이름으로 권고문을 게시하였다. 하지만 307259번 버그의 커멘트에 의하면 이번 일은 비록 표면상으로는 IDN 결함의 비슷한 테스트 케이스가 있기는 하지만 완전히 다른 문제로 보인다고 한다. 이 버그는 보안과 관련되지 않은 단순한 충돌 버그로 보이며, 308579번 버그로 등록되었는데, 이는 307875번 버그의 중복으로 판명되었다.
페리스가 모질라 버그를 잘못 분류한 것은 이번이 처음이 아니다. IDN 결함에 대한 그의 최초 보고서에서는, 실제로는 버퍼 오버플로인 버그를 포맷 스트링 취약성이라 하였다. 이는 모질라 엔지니어에 의해 재빨리 수정되었으며, 이로써 그는 그의 평가를 말 그대로 모질라 파이어폭스 “Host:” 버퍼 오버플로 권고문에 제공을 넣는데 실패하였다. 더불어 그는 그가 실제로 버그 보고서를 연 날보다 이틀 이전에 제출하였다고 주장하였다. 또한 페리스는 모질라 재단에 버그를 수정할 시간을 주지 않고 IDN 결함을 공개한 것 때문에 여러 보안 커뮤니티로부터 비판받았다.
No comments yet
Post a comment