| CVE 식별자 | CVE-2015-0008 |
|---|---|
| 발견일 | 2014년 1월 |
| 발견자 | 제프 슈미트 (JAS 글로벌 어드바이저) |
| 영향을 받는 소프트웨어 | 액티브 디렉터리 도메인을 사용하는 마이크로소프트 윈도우 워크스테이션 및 서버 (윈도우 서버 2003부터 윈도우 8.1까지) |
JASBUG는 2015년 2월에 공개된 마이크로소프트 윈도우 운영 체제의 핵심 구성 요소에 영향을 미치는 보안 버그이다. 이 보안 취약점은 2000년으로 거슬러 올라가며 지원되는 모든 버전의 윈도우 서버 2003, 윈도우 비스타, 윈도우 서버 2008, 윈도우 7, 윈도우 서버 2008 R2, 윈도우 8, 윈도우 서버 2012, 윈도우 RT, 윈도우 8.1, 윈도우 서버 2012 R2, 윈도우 RT 8.1에 영향을 주었다.
이 취약점을 통해 해커는 액티브 디렉터리 도메인에 연결된 윈도우 기기를 원격으로 제어할 수 있다.
JASBUG는 공통 취약성 및 노출 시스템에 CVE-2015-0008로 등록되어 있다. 국토안보부 산하 산업 제어 시스템 사이버 비상 대응팀(ICS-CERT)은 ICS-ALERT-15-041-01을 발표하여 제어 시스템 소유자들에게 JASBUG 관련 중요 패치를 신속하게 적용할 것을 경고했다.
마이크로소프트는 취약점이 공개된 당일에 JASBUG를 해결하기 위해 MS15-011과 MS15-014 두 개의 패치를 발표했다. 이 수정 사항들은 JASBUG 취약점의 복잡성으로 인해 마이크로소프트가 개발 및 배포하는 데 1년 이상이 소요되었다.
공개 당시 약 3억 대 이상의 컴퓨터가 해당 익스플로잇에 취약한 상태였던 것으로 추정된다.
JASBUG는 2015년 2월 10일 "패치 화요일"의 일환으로 마이크로소프트에 의해 대중에 공개되었다.
이 보안 취약점은 2014년 1월에 JAS 글로벌 어드바이저의 설립자인 제프 슈미트에 의해 마이크로소프트에 처음 보고되었다. 마이크로소프트가 이 보안 취약점을 공개적으로 발표한 후, 익스플로잇 발견 과정에서 JAS 글로벌 어드바이저가 수행한 역할을 따서 JASBUG라는 이름이 붙게 되었다.
2014년, JAS 글로벌 어드바이저는 인터넷 표준을 관리하는 기구인 ICANN과 협력하여 인터넷상의 새로운 일반 최상위 도메인(gTLD) 도입과 관련된 잠재적 기술 문제를 연구하고 있었다.
연구 과정에서 JAS 글로벌 어드바이저는 비즈니스 파트너인 SimMachines와 함께 매우 방대한 기술 데이터 세트에 "빅 데이터" 분석 기법을 적용하여 이 취약점을 발견했다.
JASBUG는 주로 기업 및 정부 사용자에 영향을 미친다. 가정용 사용자는 도메인으로 구성된 컴퓨터를 사용하지 않기 때문에 JASBUG의 영향을 받을 가능성이 낮다.
백악관 사이버 보안 고문인 마이클 대니얼은 미국 국립표준기술연구소의 정보 보안 및 개인 정보 보호 자문 위원회 회의에서 JASBUG 대응의 중요성에 대해 언급했으며, 관리예산처와 국토안보부는 즉시 연방 네트워크의 취약점을 해결하기 위한 조치를 취했다.
국토안보부 산하 국가보호프로그램국(NPPD) 차관인 수잔 E. 스폴딩은 2015년 2월 하원 청문회에서 국토안보부 자금 지원 중단 가능성에 대해 언급하며 JASBUG를 거론했다.
JASBUG 사태 이후 여러 정부 기관은 익스플로잇 위험을 완화하기 위해 기술 사양을 업데이트했다. 예를 들어, 미국 재향군인부는 JASBUG 위험을 이유로 2015년 5월에 윈도우 서버 2003의 사용을 "승인 취소"하기로 결정했다.
마이크로소프트에 따르면, 이 익스플로잇은 도메인에 가입된 시스템이 도메인 컨트롤러에 연결될 때 그룹 정책이 정책 데이터를 수신하고 적용하는 방식을 악용한다. 이 결함의 한 가지 가능한 악용 사례는 도메인 구성 시스템을 사용하는 사용자를 해커가 제어하는 네트워크로 유인하는 것이다.
잠재적 영향에도 불구하고, JASBUG 취약점이 기업이나 정부 컴퓨터에 액세스하기 위해 사이버 해커들에 의해 악용되었다는 징후는 없다.
JASBUG는 윈도우 비스타, 윈도우 서버 2008, 윈도우 7, 윈도우 서버 2008 R2, 윈도우 8, 윈도우 8.1, 윈도우 서버 2012, 윈도우 서버 2012 R2, 윈도우 RT, 윈도우 RT 8.1에 영향을 미친다. 윈도우 서버 2003도 영향을 받지만, 마이크로소프트는 이 플랫폼에 대한 수정 사항을 만드는 것이 실현 불가능하다고 판단하여 JASBUG 패치가 제공되지 않을 예정이다. JASBUG는 윈도우 XP 및 윈도우 2000에도 영향을 주지만, 마이크로소프트의 지원이 종료되었으므로 해당 운영 체제에 대한 패치는 제공되지 않는다.
하트블리드, 셸쇼크, Gotofail, POODLE과 같은 유명 취약점들과 달리, JASBUG는 구현 문제가 아닌 설계상의 문제였으며, 이로 인해 일반적인 취약점보다 해결하기 훨씬 더 어렵고 이례적인 성격을 띠었다. 이 문제를 수정하기 위해 마이크로소프트는 운영 체제의 핵심 구성 요소를 재설계하고 액티브 디렉터리 환경에서 기업들이 윈도우 시스템, 애플리케이션 및 사용자 설정을 중앙에서 관리하기 위해 사용하는 기능인 그룹 정책에 대한 추가적인 강화 조치를 포함한 여러 새로운 기능을 추가해야 했다.
마이크로소프트는 "업데이트에서 제공된 수정 사항을 적절하게 지원하기 위한 아키텍처가 윈도우 서버 2003 시스템에 존재하지 않아, 윈도우 서버 2003용 수정 사항을 만드는 것은 실현 불가능하다"고 언급하며 윈도우 서버 2003 시스템의 JASBUG 결함을 수정하지 못했다.
JASBUG에 취약할 수 있는 패치가 적용되지 않은 시스템이나 패치가 불가능한 플랫폼의 경우, 시만텍과 같은 보안 업체는 조직들이 침입 차단 시스템(IPS)을 사용하여 잠재적인 악성 JASBUG 트래픽에 대한 네트워크 활동을 모니터링할 것을 권장한다.
If any hackers knew about this since the year 2000, they could have used it to sneak into company computer systems and take complete control.
In a security bulletin, MS15-011, the tech giant revealed that the critical vulnerability affects all supported editions of Windows Server 2003, Windows Vista, Windows Server 2008, Windows 7, Windows Server 2008 R2, Windows 8, Windows Server 2012, Windows RT, Windows 8.1, Windows Server 2012 R2, and Windows RT 8.1.
Today, Microsoft has issued a critical patch to every supported version of Windows that resolves a bug that may have been open for as long as fifteen years could allow attackers to remotely take control of Windows devices that connect to an Active Directory domain.
The bug CVE2015-0008 was discovered over a year ago when global DNS overlord ICANN hired JAS to check out the security of its systems for creating new generic top-level domains.
Control systems that are members of a corporate Active Directory may be at risk. ICS-CERT is monitoring this vulnerability and will provide additional information related to control systems as it becomes available.
In order to remedy the flaw, Microsoft was forced to re-engineer core components of Windows, to add several new features. This meant extensive testing to ensure backwards compatibility, supported configurations, and new documentation to describe the changes was required, a process that took Microsoft over a year.
Outside of the Fortune 500, we estimate that another 300 million computers could be affected by the JASBUG security threat.
Microsoft released technical patches [for JASBUG] as a part of its "Patch Tuesday" release on 10 February 2015.
...the Redmond tech titan learned about the problem back in January 2014.
Discovered by Jeff Schmidt, founder of JAS Global Advisors, the flaw required Microsoft to fix to fix how domain-configured systems connect to domain controllers.
Das Sicherheitsleck wurde nach einer der Firmen benannt, die es Microsoft gemeldet haben. Weil das Unternehmen JAS Global Advisors heißt, heißt die Lücke Jasbug.
Jasbug vulnerability do [sic] not affects home users because they are not usually domain-configured
That has an impact on our ability to quickly address--identify and address vulnerabilities like the JASBUG vulnerability that has been most recently in the media.
Due to the critical nature of JASBUG, Windows Server 2003 is TRM unapproved and should only be used when the security risks are outweighed by the benefits as reviewed and approved by the AERB waiver process.
...there is no indication that it had been publicly used to attack customers.
Patch now, unless you run 2003, in which case you're out of luck.
Les versions Windows 2000 et XP n’étant plus supportées par Microsoft, il n’existe pas de correctifs.
In a rare move, Microsoft had to re-engineer some core components of the Windows operating system in order to mitigate a critical design vulnerability that could allow attackers to gain administrator-level privileges on tens-of-millions of devices.