사이트를 방문하는 것 만으로 사용자의 윈도우 PC가 해킹될 수 있어

Warning: Your Windows PC Can Get Hacked by Just Visiting a Site

마이크로소프트가 4월의 ‘패치 화요일’ 보안 업데이트를 공개했습니다. 이는 윈도우 OS 및 기타 제품에 존재하는 치명적인 취약점 다수를 수정합니다. 이 중 5건은 사용자가 웹사이트를 방문하기만 해도 공격자가 컴퓨터를 해킹하도록 허용합니다.

마이크로소프트는 Windows Graphics Component의 치명적인 취약점 5건을 패치했습니다.

이들은 윈도우 폰트 라이브러리가 내장 된 폰트를 적절하게 처리하지 못해서 발생하며, Windows 10 / 8.1 / RT 8.1 / 7, Windows Server 2008 / 2012 / 2016를 포함한 모든 윈도우 OS에 존재합니다.

공격자는 사용자가 악성 파일이나 악성 폰트를 사용해 특별히 제작 된 웹사이트를 방문하도록 속여 이 취약점을 악용해 시스템의 제어권을 탈취할 수 있습니다.

이 취약점 5개는 아래와 같이 등록 되었습니다.

CVE-2018-1010

CVE-2018-1012

CVE-2018-1013

CVE-2018-1015

CVE-2018-1016

Windows Microsoft Graphics에는 공격자가 타겟 시스템의 응답을 중지시킬 수 있는 DDoS 공격을 실행할 수 있는 취약점도 존재합니다. 이 결점은 윈도우가 메모리 내의 오브젝트를 처리하는 방식에 존재합니다.

마이크로소프트는 또 다른 치명적인 RCE 취약점인 CVE- 2018-1004에 대해서도 공개했습니다. 이는 Windows VBScript Engine에 존재하며, 모든 버전의 윈도우가 영향을 받습니다.

마이크로소프트는 “웹 기반의 공격 시나리오에서, 공격자는 인터넷 익스플로러를 통해 취약점을 악용하도록 설계 된 웹사이트를 호스팅해 사용자들이 해당 웹사이트를 열도록 유도할 수 있습니다. 또한 공격자는 ‘초기화 하기 안전함’이라 표시 된 ActiveX 컨트롤을 프로그램이나 IE 렌더링 엔진을 호스팅하는 Microsoft Office 문서에 내장 시킬 수도 있습니다.”고 설명했습니다.

이 외에도, 마이크로소프트는 Microsoft Office, Excel에 존재하는 원격 코드 실행 취약점 다수를 패치했습니다. 이 취약점들을 악용할 경우 공격자는 타겟 시스템을 제어할 수 있게 됩니다.

또한 보안 업데이트에는 Adobe Flash Player의 취약점 6개에 대한 패치도 포함 되어 있습니다. 이 중 3개는 ‘치명적’으로 분류 되었습니다.

그리고 Windows, Microsoft Office, Internet Explorer, Microsoft Edge, ChakraCore, Malware Protection Engine, Microsoft Visual Studio, Microsoft Azure IoT SDK, Adobe Flash Player에 존재하는 나머지 CVE 결점들도 함께 패치 되었습니다.

해커 및 사이버 범죄자들이 컴퓨터를 제어하는 것을 예방하기 위해서, 가능한 빠른 시일 내에 이 보안 패치를 적용하는 것이 좋습니다.

참고 :

https://thehackernews.com/2018/04/windows-patch-updates.html