수명이 다한 우분투의 치명적인 라이브러리 취약점 패치하기
최근 다양한 아카이브 파일 형식을 읽고 쓰는 데 널리 사용되는 무료 오픈소스 라이브러리인 libarchive에서 여러 보안 취약점이 수정되었습니다. 이러한 취약점으로 인해 공격자는 잠재적으로 시스템을 악용하고 libarchive와 연결된 애플리케이션을 다운시켜 서비스 거부(DoS)를 일으킬 수 있습니다.
라이브러리 취약점 세부 정보
CVE-2022-36227 (CVSS v3 점수: 9.8 심각)
라이브러리 저장소의 취약점이 발견되었습니다. calloc
함수를 사용할 수 없습니다. 메모리 부족 상태 또는 시스템의 메모리 할당 제한에 도달한 경우 이 결함으로 인해 NULL 포인터 역참조가 트리거될 수 있습니다. 라이브러리 저장소에 의존하는 애플리케이션이 충돌하여 잠재적인 서비스 거부로 이어질 수 있습니다. 그러나 이 취약점은 시스템에 심각한 메모리 과부하가 걸린 경우에만 악용될 수 있다는 점에 유의해야 합니다.
CVE-2024-48957 (CVSS v3 점수: 7.8 높음)
이 리바키브 취약점은 라이브러리 저장소의 execute_filter_audio
함수 내에서 libarchive/archive_read_support_format_rar.c
파일을 열 수 있습니다. 악의적으로 조작된 RAR 아카이브를 처리할 때 리바카이브가 데이터의 유효성을 제대로 검사하지 못해 충돌이 발생할 수 있습니다. 이 결함으로 인해 리바키브에 의존하는 애플리케이션은 서비스 거부 공격에 취약해집니다.
CVE-2024-48958 (CVSS v3 점수: 7.8 높음)
CVE-2024-48957과 마찬가지로, 이 취약점 역시 아웃오브바운드 액세스로 인해 발생하지만, 이 취약점은 execute_filter_delta
함수 내에서 동일한 archive_read_support_format_rar.c
파일에서 발생합니다. 이전 결함과 마찬가지로 이 문제는 라이브러리 보관소가 특수하게 제작된 RAR 아카이브를 처리할 때 발생하며, 잠재적인 애플리케이션 충돌과 그에 따른 서비스 거부로 이어질 수 있습니다.
사용 가능한 업데이트 및 보안 유지 방법
Canonical은 최근 다음 Ubuntu 버전에 대한 업데이트를 릴리스하여 이러한 보안 취약점을 해결했습니다: 우분투 24.04 LTS, 우분투 22.04 LTS, 우분투 20.04 LTS. 또한, 확장 보안 유지 관리(ESM)에 따라 지원 종료(EOL) 된 이전 Ubuntu 버전에 대한 확장 보안 업데이트가 제공되었습니다: 우분투 18.04 ESM, 우분투 16.04 ESM 및 우분투 14.04 ESM.
이러한 취약점으로부터 시스템을 보호하려면 Ubuntu 리포지토리에서 제공되는 최신 버전으로 라이브러리 패키지를 업데이트해야 합니다. Ubuntu 24.04 LTS, Ubuntu 22.04 LTS 또는 Ubuntu 20.04 LTS를 실행하는 사용자의 경우, 이러한 업데이트는 표준 Ubuntu 리포지토리를 통해 직접 적용할 수 있습니다.
Ubuntu 18.04, Ubuntu 16.04, Ubuntu 14.04와 같은 지원 종료된 Ubuntu 버전을 여전히 사용하는 사용자의 경우 보안 패치를 적용하려면 ESM을 통해 확장된 보안 유지 관리를 이용할 수 있는 Ubuntu Pro 구독이 필요합니다.
경제적인 대안: TuxCare의 끝없는 라이프사이클 지원
이전 우분투 버전을 사용하면서 우분투 프로 구독의 높은 비용을 피하고 싶은 분들을 위해 TuxCare의 Endless Lifecycle Support는 비용 효율적인 솔루션을 제공합니다. TuxCare의 ELS 서비스는 EOL 우분투 버전(우분투 16.04 및 우분투 18.04)에 대해 공급업체 수준의 보안 패치를 제공하므로 공식 EOL 날짜 이후에도 필요한 기간 동안 안전하게 계속 운영할 수 있습니다. 이를 통해 조직은 지속적인 보안 규정 준수를 보장하면서 각자의 속도에 맞춰 마이그레이션할 수 있습니다.
TuxCare는 CentOS 6, CentOS 7, CentOS 8, CentOS Stream 8, Oracle Linux 6 및 Oracle Linux 7을 비롯한 기타 종료되는 Linux 배포판도 지원합니다.
출처: USN-7070-1