2009년 12월 22일
버그에 가장 취약한 SW는?
파이어폭스가 올해 가장 버그에 취약했던 애플리케이션으로 드러났다. 어도비 SW의 버그는 지난 해보다 3배이상으로 늘어났다.
씨넷은 19일(현지시간) 버그취약성 서비스회사인 퀄리스(Qualys)가 취합한 통계를 인용, 이같이 보도했다.
퀄리스는 올해 파이어폭스에서 발견된 SW취약성이 지난해 90건에서 올해 102건으로 늘어난 것으로 집계했다. 이 수치는 국립취약성데이터베이스(National Vulnerability Database)통계를 통해 확보한 것이다.
■MS등은 내부발견 취약성 공개안돼
파이오폭스의 이같은 취약성은 이 웹브라우저가 가장 버그가 많다는 의미는 아니라 단지 ‘버그가 가장 많이 보고된 프로그램’이라는 의미다.
왜냐하면 파이어폭스의 경우 SW가 오픈소스로 되어있기 때문에 모든 약점이 공개될 수 밖에 없기 때문이다.
예를 들어 소스코드를 공개하지 않는 어도비나 MS윈도 같은 프로그램은 회사밖의 연구자에 의해 발견된 약점만 공식 공개하고 있다.
퀄리스의 볼프강 칸덱 최고기술책임자(CTO)는 “MS나 어도비 같은 회사는 자체적으로 발견한 약점은 공개하지 않는다”고 말한다.
어쨌든 어도비는 지난해 2위였던 MS로부터 2위자리를 물려(?)받았다.
어도비 프로그램의 취약성은 지난해 14건에서 올해 45건으로 늘어났다. 반면 MS는 지난해 44건에서 41건으로 줄어들었다. 인터넷익스플로러(IE),윈도미디어플레이어, MS오피스를 통틀어 30건의 버그 취약성이 나타났다.
■OS공격 줄고 애플리케이션 공격 늘어
칸덱 퀄리스 CTO는 “통계를 살펴보면 SW공격자들은 그들의 공격대상을 운영체제(OS)에서 애플리케이션으로 돌리고 있음을 알 수 있다”고 말했다.
그는 "공격자들은 OS가 점점 더 안정돼 공격하기 어려워지자 그 대상을 애플리케이션으로 옮겨가고 있다"고 설명한다.
그러나 칸덱 CTO는 “어도비는 MS보다 10배나 많이 공격당하는 거대한 공격 대상이긴 하지만 인터넷익스플로러나 파이어폭스도 여전히 안전과는 거리가 멀다 ”고 덧붙였다.
올해 실시된 F시큐어의 조사에 따르면 어도비의 취약점을 대상으로 한 공격이 MS애플리케이션 공격보다 더 많았다.
2009년 들어 첫 3개월동안 F시큐어는 663건의 목표파일을 발견했는데 가장 보편적인 타입인 PDF가 거의 50%를 차지했다. 다음으로 MS워드의 40%였으며 엑셀은 7%, 파워포인트가 4.5%였다.
이는 1년 전만 해도 워드가 1천968건의 SW 지정 공격건수 가운데 35%를, 리더가 28%이상을, 엑셀이 20%를, 파워포인트가 17% 가까이를 각각 차지한 것과 크게 대비되는 숫자다.
그결과 어도비는 MS가 2002년 취했던 ‘믿을 수 있는 컴퓨팅구상(Trust -worthy Computing Initiative)'과 같은 방식으로 대응하는 등 SW안전성을 회사의 최우선 과제로 삼았다.
F시큐어는 PDF 취약성과 관련, 사람들이 리더를 사용하는 대신 대체 PDF리더를 사용해야한다고 권고할 정도다.
어도비는 지난 5월 정기적인 스케줄에 따라 분기별로 보안업데이트를 내놓고 MS가 패치를 3번 내놓을 때마다 한번은 패치를 내놓겠다고 말했다.
■파이어폭스, 어도비리더, 애플 퀵타임 순
지난 주 애플리케이션접근인증기술회사인 비트9은 어떤 애플리케이션이 사용자에게 가장 위험한 것인지에 대한 또다른 연구결과를 발표했다. 이는 윈도에서 구동되고 있고 자동으로 업데이트되지 않는 가장 일반적인 애플리케이션을 대상으로 조사한 내용이다.
이에따르면 최악의 취약성을 가진 애플리케이션으로는 파이어폭스가 또다시 톱리스트에 올랐다. 다음은 어도비 리더와 애플의 퀵타임이었다.
위험성이 높은 SW명단은 국립취약성데이터베이스(National Vulnerability Database)에 의해 취합된 것인데 여기에는 자바,플래시플레이어,사파리,쇽웨이브,아크로뱃,오페라,리얼플레이어,트릴리언 등이 포함되어 있다.
지난 해 비트9의 명단에는 가장 위험한 애플리케이션으로 오른 SW에는 스카이프, 야후IM,AOL IM,가 포함돼 있었지만 올해에는 리스트에서 빠졌다.
명단에 포함되지 않은 프로그램에는 MS와 구글의 프로그램들이 있다. 이는 이 SW를 사용하는 고객들이 이들관련 패치를 자동으로 인스톨하도록 하는 능력이 향상됐기 때문이다.
MS SW는 자동적으로 업그레이드되고 MS시스템매니지먼트서버와 윈도서버업데이트서비스를 통해 자동으로 데이트된다. 구글크롬역시 사용자가 인터넷에 있으며 자동으로 업데이트 된다.
MS는 고객들이 취약점을 고치는 것보다 더 오랜시간을 기다리게 하는 데 있어서 어도비와 비슷하다. 지난 3월 어도비는 리더와 아크로밧에서 발견된 제로데이취약성이 발견된 지 약 2주후에 패치를 발표했고 이의 악용을 발견하는데 약 2달이나 걸렸다.
어도비고객들은 최근 발생한 리더와 아크로밧SW의 취약성을 보완하는 패치를 얻기 위해서는 약 한달정도 기다려야 할 것 같다. 어도비는 지난 수요일 자사가 다음 분기 보안업데이트 발표시까지는 패치를 제공할 수 없을 것이라고 발표했다.
출처 - http://news.naver.com/main/read.nhn?mode=LSD&mid=sec&sid1=105&oid=092&aid=0001956958
씨넷은 19일(현지시간) 버그취약성 서비스회사인 퀄리스(Qualys)가 취합한 통계를 인용, 이같이 보도했다.
|
■MS등은 내부발견 취약성 공개안돼
파이오폭스의 이같은 취약성은 이 웹브라우저가 가장 버그가 많다는 의미는 아니라 단지 ‘버그가 가장 많이 보고된 프로그램’이라는 의미다.
왜냐하면 파이어폭스의 경우 SW가 오픈소스로 되어있기 때문에 모든 약점이 공개될 수 밖에 없기 때문이다.
예를 들어 소스코드를 공개하지 않는 어도비나 MS윈도 같은 프로그램은 회사밖의 연구자에 의해 발견된 약점만 공식 공개하고 있다.
퀄리스의 볼프강 칸덱 최고기술책임자(CTO)는 “MS나 어도비 같은 회사는 자체적으로 발견한 약점은 공개하지 않는다”고 말한다.
어쨌든 어도비는 지난해 2위였던 MS로부터 2위자리를 물려(?)받았다.
어도비 프로그램의 취약성은 지난해 14건에서 올해 45건으로 늘어났다. 반면 MS는 지난해 44건에서 41건으로 줄어들었다. 인터넷익스플로러(IE),윈도미디어플레이어, MS오피스를 통틀어 30건의 버그 취약성이 나타났다.
■OS공격 줄고 애플리케이션 공격 늘어
칸덱 퀄리스 CTO는 “통계를 살펴보면 SW공격자들은 그들의 공격대상을 운영체제(OS)에서 애플리케이션으로 돌리고 있음을 알 수 있다”고 말했다.
그는 "공격자들은 OS가 점점 더 안정돼 공격하기 어려워지자 그 대상을 애플리케이션으로 옮겨가고 있다"고 설명한다.
그러나 칸덱 CTO는 “어도비는 MS보다 10배나 많이 공격당하는 거대한 공격 대상이긴 하지만 인터넷익스플로러나 파이어폭스도 여전히 안전과는 거리가 멀다 ”고 덧붙였다.
올해 실시된 F시큐어의 조사에 따르면 어도비의 취약점을 대상으로 한 공격이 MS애플리케이션 공격보다 더 많았다.
2009년 들어 첫 3개월동안 F시큐어는 663건의 목표파일을 발견했는데 가장 보편적인 타입인 PDF가 거의 50%를 차지했다. 다음으로 MS워드의 40%였으며 엑셀은 7%, 파워포인트가 4.5%였다.
이는 1년 전만 해도 워드가 1천968건의 SW 지정 공격건수 가운데 35%를, 리더가 28%이상을, 엑셀이 20%를, 파워포인트가 17% 가까이를 각각 차지한 것과 크게 대비되는 숫자다.
그결과 어도비는 MS가 2002년 취했던 ‘믿을 수 있는 컴퓨팅구상(Trust -worthy Computing Initiative)'과 같은 방식으로 대응하는 등 SW안전성을 회사의 최우선 과제로 삼았다.
F시큐어는 PDF 취약성과 관련, 사람들이 리더를 사용하는 대신 대체 PDF리더를 사용해야한다고 권고할 정도다.
어도비는 지난 5월 정기적인 스케줄에 따라 분기별로 보안업데이트를 내놓고 MS가 패치를 3번 내놓을 때마다 한번은 패치를 내놓겠다고 말했다.
■파이어폭스, 어도비리더, 애플 퀵타임 순
지난 주 애플리케이션접근인증기술회사인 비트9은 어떤 애플리케이션이 사용자에게 가장 위험한 것인지에 대한 또다른 연구결과를 발표했다. 이는 윈도에서 구동되고 있고 자동으로 업데이트되지 않는 가장 일반적인 애플리케이션을 대상으로 조사한 내용이다.
이에따르면 최악의 취약성을 가진 애플리케이션으로는 파이어폭스가 또다시 톱리스트에 올랐다. 다음은 어도비 리더와 애플의 퀵타임이었다.
|
지난 해 비트9의 명단에는 가장 위험한 애플리케이션으로 오른 SW에는 스카이프, 야후IM,AOL IM,가 포함돼 있었지만 올해에는 리스트에서 빠졌다.
명단에 포함되지 않은 프로그램에는 MS와 구글의 프로그램들이 있다. 이는 이 SW를 사용하는 고객들이 이들관련 패치를 자동으로 인스톨하도록 하는 능력이 향상됐기 때문이다.
MS SW는 자동적으로 업그레이드되고 MS시스템매니지먼트서버와 윈도서버업데이트서비스를 통해 자동으로 데이트된다. 구글크롬역시 사용자가 인터넷에 있으며 자동으로 업데이트 된다.
MS는 고객들이 취약점을 고치는 것보다 더 오랜시간을 기다리게 하는 데 있어서 어도비와 비슷하다. 지난 3월 어도비는 리더와 아크로밧에서 발견된 제로데이취약성이 발견된 지 약 2주후에 패치를 발표했고 이의 악용을 발견하는데 약 2달이나 걸렸다.
어도비고객들은 최근 발생한 리더와 아크로밧SW의 취약성을 보완하는 패치를 얻기 위해서는 약 한달정도 기다려야 할 것 같다. 어도비는 지난 수요일 자사가 다음 분기 보안업데이트 발표시까지는 패치를 제공할 수 없을 것이라고 발표했다.
출처 - http://news.naver.com/main/read.nhn?mode=LSD&mid=sec&sid1=105&oid=092&aid=0001956958
# by | 2009/12/22 01:35 | 세상알기 | 트랙백 | 덧글(0)
