보안 권고: 중요 암호화 Java 취약점

2022년 4월 22일 | 조언하는, 블로그

4월 22nd, 2022: CyberHoot은 Java 제품 취약점을 조사했습니다. CVE-2022-21449 인증 없이 계정을 원격으로 악용할 수 있도록 하는 취약점입니다. 다시 말해, 이 취약점은 네트워크 외부에서 사용자 환경에 인증되지 않은 사용자가 악용할 수 있습니다. 이는 다음과 관련된 취약점을 통해 이루어집니다. 디지털 서명 이들 중 인증.

Java 제품 취약점

타원 곡선 암호화(ECC) 기반 디지털 서명을 제출할 때는 수신자에게 서명자가 서명을 검증하는 데 사용할 공개 키 에 해당하는 개인 키 에 접근할 수 있음을 증명해야 합니다 .

간단히 말해, 이메일 메시지나 소프트웨어 업데이트와 같이 인증하려는 데이터의 고정 길이 해시값(예: SHA-256)을 계산하고, 그 해시값에 개인 키로 서명한 다음, 해시값 과 서명을 함께 제출합니다. 수신자는 일치하는 공개 키를 사용하여 해시값을 검증하고, 그 해시값을 이용하여 메시지의 내용(따라서 메시지의 길이는 얼마든지 길어질 수 있음)을 검증합니다.

개인 키는 해당 공개 키로부터 역으로 알아낼 수 없기 때문에, 공개 키는 문자 그대로 공개될 수 있으며, 여러 가지 방법으로 개인 키와 일치한다는 것이 증명될 수 있습니다.

다시 말해, 관련 개인 키에 대한 접근 권한이 없으면 통과할 디지털 서명을 제시할 수 없습니다. 따라서 수신자가 개인 키를 적절히 관리했다고 가정하면 이러한 종류의 서명 검사는 오늘날 온라인으로 코드와 데이터를 교환할 때 필수적인 수준의 검증을 제공합니다.

하지만 보안 연구원 매든이 작년 12월 오라클에 보고한 바와 같이 , 해커는 자바의 타원 곡선 검증 코드에 제시될 경우 완전히 비어 있는 "심령 서명"을 사용할 수 있으며, 이는 어떤 공개 키와도 "검증"될 때 유효한 것으로 표시됩니다.

다시 말해, 공격자는 사용자의 네트워크를 해킹하여 개인 키를 훔친 뒤 사용자로 가장하거나, 매번 빈 서명을 제시하여 통과해야 합니다!

당신은 무엇을해야합니까?

가능한 한 빨리 자바 버전을 업데이트하세요 !

최신 자바 버전은 자바 17(장기 지원) 과 자바 18 이며, 각각 17.0.3 및 18.0.1 버전으로 업데이트됩니다.

패치가 적용된 구형 버전이지만 여전히 지원되는 버전으로는 Java 7 , Java 8 및 Java 11 이 있으며, 각각 버전 7u341 , 버전 8u331 및 11.0.15 로 업데이트되었습니다.

자바 개발 키트 (JDK) 또는 자바 런타임 환경 (JRE) 형태로 여러 자바 버전을 동시에 설치할 수 있다는 점을 기억하세요 .

컴퓨터에서 사용 가능한 Java 버전을 확인하려면 프로그램 파일을 검색하면 됩니다. java (또는 java.exe (Windows의 경우).

다음 명령을 실행하여 각 Java 실행 파일이 나타내는 버전을 확인할 수 있습니다. java -version.

취약점 경고 관리 프로세스가 있나요?

CyberHoot 서비스 구독자이신 경우, 취약점 경보 관리 프로세스 문서가 포함된 정책 및 프로세스 라이브러리를 이용하실 수 있습니다. 이 문서는 이러한 상황에 어떻게 대응해야 하는지, 그리고 대응 기간은 어떻게 되는지에 대해 설명합니다. 아직 VAMP와 유사한 프로세스를 도입하지 않으셨다면, 지금이 시작하기에 좋은 시기입니다.