리눅스 Libgcyrpt 보안 취약점 CVE-2017-7526, CVE-2017-9526

LGPL Crypto 라이브러리인 Libgcyrpt 패키지에서 보안 취약점이 발견되었습니다. Libgcrypt에서 사이트 채널을 통한 공격이 가능하여 로컬 공격자가 이 공격을 이용하여 RSA 개인 키를 복구할 수 있는 보안 취약점 CVE-2017-7526이 발견되었습니다. 아울러 로컬 공격자가 위 공격을 이용하여 EdDSA 개인 키를 복구할 수 있는 보안 취약점 CVE-2017-9526도 함께 발견되었습니다. 참고로 CVE-2017-9526은 우분투 16.04 LTS 이상에서만 발견된 보안 취약점입니다.


<Debian>

데비안에서는 위 보안 취약점과 관련하여 다음과 같이 발표하였습니다.

데비안 9 Stretch (Stable)
libgcrypt20 1.7.6-2+deb9u1 에서 보안 패치 완료 (fixed)

데비안 8 Jessie (OldStable) / 리눅스민트데비안에디션(LMDE) 2
libgcrypt20 1.6.3-2+deb8u4 에서 보안 패치 완료 (fixed)

데비안 7 Wheezy
현재 최신버전인 libgcrypt11 1.5.0-5+deb7u5 에서 보안 취약점이 존재하나, 아직 보안 패치가 없음 ㅜㅜ


<Ubuntu>

우분투(리눅스민트, 하모니카 등 포함)에서는 위 보안 취약점과 관련하여 다음과 같이 발표하였습니다.

우분투 17.04
libgcrypt20 1.7.6-1ubuntu0.1 에서 보안 패치 완료 (released)

우분투 16.10
libgcrypt20 1.7.2-2ubuntu1.1 에서 보안 패치 완료 (released)

우분투 16.04 LTS / 리눅스민트 18-18.2
libgcrypt20 1.6.5-2ubuntu0.3 에서 보안 패치 완료 (released)

우분투 14.04 LTS / 리눅스민트 17.3 / 하모니카 2.1
libgcrypt11 1.5.3-2ubuntu4.5 에서 보안 패치 완료 (released)

우분투 12.04 LTS / 리눅스민트 13
지원종료


보안 패치가 발표된 데비안 및 우분투(리눅스민트, 하모니카 등 포함) 사용자께서는 터미널에서 다음의 명령어를 통해 보안 업데이트를 하기 바랍니다.
$ sudo apt-get update && sudo apt-get -y dist-upgrade


*위 정보는 우분투 12.04 ESM(Extended Security Maintenance)을 포함하지 않습니다.
*위 정보는 작성자가 주로 사용하는 리눅스 배포판에 대해서만 작성하였습니다. 그 외의 배포판은 알아서 하셔야 합니다.


<참고>
https://www.debian.org/security/2017/dsa-3901
https://security-tracker.debian.org/tracker/CVE-2017-7526
https://www.ubuntu.com/usn/usn-3347-1/
http://people.ubuntu.com/~ubuntu-security/cve/CVE-2017-7526
http://people.ubuntu.com/~ubuntu-security/cve/CVE-2017-9526

--

출처: http://la-nube.tistory.com/175 [la Nube의 소소한 취미생활]