'서버구축 (WEB,DB)'에 해당되는 글 160건
- 2012/05/04 Oracle 데이터베이스 신규 취약점 주의
- 2012/04/04 가트너, 서버 가상화 트렌드 5가지 발표
- 2011/09/16 Apache서버 서비스 거부 취약점 보안업데이트 권고
개요
- 2012년 5월 1일, Oracle사는 Oracle 데이터베이스의 TNS listener 취약점에 대한 임시 조치 권고 발표[1]
4월에 발표된 April 2012 Critical Patch Update를 통해 패치 되지 아니한 취약점에 대해 개념증명코드(PoC)가 공개되어 패치 전에 취할 수 있는 조치에 대한 보안권고
설명
- TNS listener와 관련된 취약점으로 원격에서 사용자 인증 없이 데이터베이스로의 연결을 엿보거나 임의의 명령어 실행이 가능한 취약점
※ TNS(Transparent Network Substrate) : Oracle에서 개발한 기술로 서로 다른 Network 구성을 가지고 있는 Client/Server 또는 Server/Server 간에도 Data의 전송을 가능하게 해주는 Network 기술
해당 소프트웨어
- Oracle Database 11g Release 2, versions 11.2.0.2, 11.2.0.3
- Oracle Database 11g Release 1, version 11.1.0.7
- Oracle Database 10g Release 2, versions 10.2.0.3, 10.2.0.4, 10.2.0.5
임시 조치 방안
- Real Application Clusters(RAC) 사용자는 My Oracle Support Note 1340831.1 참고 [2]
※ RAC(Real Application Clusters) : Oracle 데이터베이스 환경에서 클러스터링과 고가용성 기능을 가능케 하는 추가 기능 - Real Application Clusters(RAC) 비사용자는 My Oracle Support Note 1453883.1 참고 [3]
- 상기 문서를 검토하고 벤더사 및 유지보수업체와 협의/검토 후 조치 요망
기타 문의사항
- 한국인터넷진흥원 인터넷침해대응센터: 국번없이 118
[참고사이트]
[1] http://www.oracle.com/technetwork/topics/security/alert-cve-2012-1675-1608180.html
[2] https://support.oracle.com/CSP/main/article?cmd=show&type=NOT&id=1340831.1
[3] https://support.oracle.com/CSP/main/article?cmd=show&type=NOT&id=1453883.1
최근 시장조사기관인 가트너(Gartner)는 2012년 서버 가상화 분야 5가지 트렌드 예측을 발표했습니다. 자 그럼, 성숙기에 접어들었지만 아직도 다이내믹한 시장이기도 한 서버 가상화 시장 트렌드 전망을 통해 우리의 클라이언트에게 해줄 수 있는 좋은 팁에 대해서 알아볼까요?
1. 매력적인 선택의 기회 증가(Competitive Choices Mature): 서버 가상화 트렌드가 이제 막 시작한다면, 그 시장은 얼마나 다른 모습이었을까 상상해 보세요. VMware의 경쟁환경은 최근 몇 년간 급속도로 악화되었으며 이에 따라 가격은 중요한 차별화 요소로 대두되었습니다. 아직 가상화를 적용하지 않은 기업들은(있기는 하지만 그다지 많지는 않다) 아주 좋은 선택의 기회를 맞이하고 있습니다.
2. 2차 소싱에 대한 관심 증가(Second Sourcing Grows): VMware의 현 사용자들은 VMware로부터의 마이그레이션을 하지는 않을 것으로 보이지만 비용과 잠재적인 락인(lock-in)에 대한 우려는 상존합니다. 점점 더 많은 기업들이 '2차 소싱' (조직 일부에 다른 가상화 기술을 적용하는) 전략을 수립하고 전개하고 있습니다. 이종의 가상화 관리는 매우 흥미롭기는 하지만, 상당 부분 희망사항으로 남아 있습니다.
3. 가격 모델의 변화(Pricing Models in Flux): 값비싼 하이퍼바이저에서 무료 하이퍼바이저로, 코어 기반 가격모델에서 메모리 기반 가격모델로 가상화 가격 모델은 언제나 변화하여 왔으며 프라이빗 클라우드와 하이브리드 클라우드로의 트렌드는 앞으로도 가상화의 가격모델이 계속 바뀌어 갈 것이며 현재의 IT 자금 펀딩 모델에 대한 도전이 될 전망입니다.
4. 시장 침투와 시장 포화 상태 (Penetration and Saturation): 가상화는 이미 50%의 시장을 침투하였습니다. 경쟁환경과 신규고객(소규모)들로 인해 가격하락의 압박은 그 무게감을 더하고 있습니다. 시장은 지속적으로 성장하고 있으나 과거보다는 더딘 상황이며 이로 인해 공급자들의 행보는 변화할 것입니다. 서버 공급자에게 미치는 영향을 잊어서는 안 될 것입니다. 가상화의 성장세가 멈추기까지 향후 몇 년간을 주시할 필요가 있습니다.
5. 클라우드 서비스 제공기업들의 베팅(Cloud Service Providers Are Placing Bets): IaaS 공급자들은 기업에서 구축되고 있는 가상화에 대해 무시할 수 없을 것입니다. 그들의 서비스에 새로운 전환점을 마련하는 것이 어느때보다도 중요합니다. 나름의 표준화를 마련하거나(아마도 그 효과는 제한적일 것 같습니다), 기업이 사용하는 가상화 소프트웨어를 받아들이거나(스스로를 상품화하는 것), 상호운영성을 개선시키는 소프트웨어를 개발 또는 구매하는 것(성공 혹은 실패 가능성). 어느 하나도 쉬운 선택은 없으며 어쨌든 승자와 패자는 나뉘어질 것입니다.
출처 : http://blog.naver.com/citrixblog
□ 개요
o Apache웹서버에 원격 서비스거부(Denial of Service) 공격 가능한 신규 취약점이 발견됨 [1]
o 공격자는 mod_proxy_ajp와 ‘mod_proxy_balancer모듈이 같이 사용되는 아파치 서버 환경에서
특수하게 조작된 HTTP패킷을 전송할 경우, 서비스 거부를 발생시킬 수 있음
□ 해당 시스템
o 영향 받는 소프트웨어 [1]
- Apache 2.2.20 및 이전 버전
※ 자세한 버전은 참고사이트 참조
□ 해결방안
o 취약한 버전을 운용하고있는 웹서버 관리자는 Apache 2.2.21버전으로 업데이트[3]
※ Apache 1.3버전의 경우 업데이트 지원이 중단되었으므로, 해당 버전 운용자는2.2.21버전으로
업그레이드 권고
□ 용어 정리
o Apache : WWW(World Wide Web)서버 소프트웨어
o mod_proxy : Apache 프록시/게이트웨이 기능을 구현하는 모듈
o mod_proxy_ajp : mod_proxy에서 AJP(Apache JServ Protocol)를 지원하는 모듈
o mod_proxy_balancer : 부하분산을 위한 mod_proxy확장 모듈
□ 기타 문의사항
o 한국인터넷진흥원 인터넷침해대응센터: 국번없이 118
[참고사이트]
[1] http://secunia.com/advisories/46013/
[2] http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-3348
[3] http://httpd.apache.org/download.cgi
AJP,
apache,
Apache JServ Protocol,
Denial of Service,
hi.pe.kr,
HTTP,
mod_proxy,
mod_proxy_ajp,
mod_proxy_balancer,
게이트웨이,
물고기,
보안업데이트,
부하분산,
서버구축,
서비스거부공격,
웹서버,
취약점,
패킷조작,
프록시
Prev
Facebook
