리눅스 sudo 취약점 발견…"보안강화 시스템 오히려 위험" (CVE-2017-1000367)

출처 : http://www.zdnet.co.kr/news/news_view.asp?artice_id=20170606131340

--

리눅스의 보안강화 기능을 켠 상태에서만 동작하는 역설적인 보안취약점이 발견됐다. 주요 배포판에 탑재된 SELinux 기능이 설정된 시스템에만 먹히는 관리자 권한 상승 공격 취약점이다.

미국 지디넷은 5일(현지시간) SELinux 환경은 설정이 까다로워 엄격한 보안이 필요할 때만 시스템 관리자들에게 선택받곤 했는데 오히려 SELinux로 보호된 시스템에만 영향을 주는 취약점이 발견됐다고 보도했다.

일반 사용자가 리눅스의 최고 관리자 권한으로 운영체제(OS) 기능을 사용케 하는 '슈퍼유저' 명령어(sudo)를 악용하는 이 취약점은 일반 리눅스가 아닌 SELinux에만 해당한다.

sudo 1.7.10부터 1.7.10p9 사이, sudo 1.8.5부터 1.8.20p1 사이 버전에 취약점이 존재한다. sudo 1.8.20p1 버전은 취약점을 패치했지만 악성 명령어 관련 문제를 해결하지 못해 불완전하다.

취약점이 발견된 SELinux는 리눅스OS 커널의 보안 모듈을 가리킨다. 지난 1998년 1월 처음 등장했다. 초기 프로젝트는 미국 국가안보국(NSA)이 진행했는데, 이후 개발은 리눅스 및 오픈소스 소프트웨어 개발자 커뮤니티로 이관됐다.

-본문 중

--

우분투 16.04 LTS, 리눅스민트 18-18.1
sudo 1.8.16-0ubuntu1.4, sudo-ldap 1.8.16-0ubuntu1.4 로 보안 패치 / 2017년 5월 30일

우분투 14.04 LTS, 리눅스민트 17-17.3, 하모니카 2.1
sudo 1.8.9p5-1ubuntu1.4, sudo-ldap 1.8.9p5-1ubuntu1.4 로 보안 패치 / 2017년 5월 30일

우분투 12.04 LTS, 리눅스민트 13
운영체제 지원종료, 상위 버전으로 운영체제 업그레이드

데비안 8 Jessie (Stable), 리눅스민트데비안에디션(LMDE) 2
이전 버전 sudo 1.8.10p3-1+deb8u3 에서 sudo 1.8.10p3-1+deb8u4 로 보안 패치 / 2017년 5월 30일

데비안 7 Wheezy (OldStable)
이전 버전 sudo 1.8.5p2-1+nmu3+deb7u1 에서 sudo 1.8.5p2-1+nmu3+deb7u3 로 보안 패치 / 2017년 5월 30일

우분투부터 데비안까지는 터미널에서 다음의 명령어를 통하여 보안 패치를 진행합니다.
$ sudo apt-get update && sudo apt-get dist-upgrade

RHEL 7, CentOS 7
이전 버전 sudo-1.8.6p7-21.el7_3 에서 sudo-1.8.6p7-22.el7_3 로 보안 패치 / 2017년 5월 30일(RHEL), 31일(CentOS)

RHEL 6, CentOS 6
이전 버전 sudo-1.8.6p3-25.el6_8 에서 sudo-1.8.6p3-28.el6 로 보안 패치 / 2017년 5월 30일(RHEL), 31일(CentOS)

RHEL 5, CentOS 5
취약점이 존재함, 운영체제 지원종료, 상위 버전으로 운영체제 업그레이드

RHEL과 CentOS는 터미널에서 다음의 명령어를 통하여 보안 패치를 진행합니다.
$ sudo yum update

*위 정보는 우분투 12.04의 Extended Security Maintenance나, RHEL 5의 Extended Lifecycle Support를 포함하지 않습니다.
*위 정보는 작성자가 주로 사용하는 리눅스 배포판에 대해서만 작성하였습니다. 그 외의 배포판은 알아서 하셔야 합니다.

<참고>
https://www.ubuntu.com/usn/USN-3304-1/
https://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-1000367.html
https://security-tracker.debian.org/tracker/CVE-2017-1000367
https://rhn.redhat.com/errata/RHSA-2017-1382.html

--