리눅스 Ghost 취약점 보안 업데이트 권고 (CVE-2015-0245)

리눅스 GNU C 라이브러리(glibc)에서 원격코드 실행이 가능한 취약점(CVE-2015-0235)을 발견되었습니다.

glibc (GNU C 라이브러리)는 GNU 프로젝트의 일환으로 만든 C 표준 라이브러리의 한 종류로 응용 프로그램이

아니라 사실상 모든 응용 프로그램이 사용하는 라이브러리 입니다. 

Linux 시스템에서는 예외없이 glibc가 사용되고 있습니다. 

----------------------------------------------------------------------------------------------------------------------------

리눅스 Ghost 취약점 보안 업데이트 권고

 

□ 개요

o  GNU C 라이브러리(glibc)의 버퍼 오버플로우 취약점

o  네트워크 연결 시 자주 쓰이는 gethostbyname(), gethostbyname2() 함수 호출 시 취약한 함수가 호출됨

o  외부의 공격자는 취약한 서버에서 원격으로 임의의 코드를 실행시킬 수 있음

 

□ 취약한 버전

o glibc 2.2 ~ 2.17

o glibc 2.18 이후 버전은 취약점 없음

 

□ 해결방안

o glibc 2.2~2.17 사용자는 해당 하위 버전별로 최신 업데이트가 필요

o 아래 배포판 리눅스 사용자는 링크를 참고하여 업데이트

 

※ CentOS

- CentOS 5 : http://lists.centos.org/pipermail/centos-announce/2015-January/020906.html

               glibc-2.5-123.el5_11.1 이상 버전으로 업데이트

- CentOS 6 : http://lists.centos.org/pipermail/centos-announce/2015-January/020907.html

               glibc-2.12-1.149.el6_6.5 이상 버전으로 업데이트

- CentOS 7 : http://lists.centos.org/pipermail/centos-announce/2015-January/020908.html

               glibc-2.17-55.el7_0.5 이상 버전으로 업데이트

 

※ Debian : https://security-tracker.debian.org/tracker/CVE-2015-0235

- eglibc 2.11.3-4 이하 버전은 eglibc 2.11.3-4+deb6u4로 업데이트

- eglibc 2.13-38+deb7u6 이하 버전은 2.13-38+deb7u7로 업데이트

 

※ Redhat

- Redhat 5 : https://rhn.redhat.com/errata/RHSA-2015-0090.html

glibc-2.5-123.el5_11.1 이상 버전으로 업데이트

- Redhat 6 : https://rhn.redhat.com/errata/RHSA-2015-0092.html

glibc-2.12-1.149.el6_6.5 이상 버전으로 업데이트

- Redhat 7 : https://rhn.redhat.com/errata/RHSA-2015-0092.html

glibc-2.17-55.el7_0.5 이상 버전으로 업데이트

 

※ Ubuntu : http://people.canonical.com/~ubuntu-security/cve/2015/CVE-2015-0235.html

- Ubuntu 10.04 LTS - eglibc 2.11.1-0ubuntu7.20으로 업데이트

- Ubuntu 12.04 LTS - eglibc 2.15-0ubuntu10.10으로 업데이트

 

□ 참고 사이트

[1] http://lists.centos.org/pipermail/centos/2015-January/149413.html

[2] https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=776391

[3] https://access.redhat.com/articles/1332213

[4] http://www.ubuntu.com/usn/usn-2485-1

[5] https://community.qualys.com/blogs/laws-of-vulnerabilities/2015/01/27/the-ghost-vulnerability

[6] http://ma.ttias.be/critical-glibc-update-cve-2015-0235-gethostbyname-calls/