마이크로소프트(Microsoft) 업체에서 제공하는 Internet Explorer 8 버전의 보안 취약점(CVE-2014-1770) 문제가 상당 기간 동안 패치가 이루어지지 않는 문제로 인하여 2014년 5월 21일 취약점 공개 정책에 따라 Zero Day Initiative(ZDI) 웹 사이트에 공개되었다는 소식입니다.
해당 보안 취약점(CVE-2014-1770)은 Peter 'corelanc0d3r' Van Eeckhoutte에 의해 Internet Explorer 8 버전에서 발견되었으며, 2013년 10월 11일 마이크로소프트(Microsoft)에 전달하였다고 합니다.
하지만 180일이 지난 시점까지 마이크로소프트(Microsoft) 업체에서는 해당 취약점에 대한 보안 패치를 제공하지 않았으며, 180일간의 취약점 비공개 정책이 경과함에 따라 Zero Day Initiative(ZDI) 웹 사이트에 공개를 하게 되었다는 비화가 전해지고 있습니다.
□ Windows XP, Windows Vista, Windows 7 운영 체제용 Internet Explorer 8 버전
CVE-2014-1770 취약점은 Internet Explorer 8 버전의 CMarkup 객체내에 존재하는 Use-After-Free 취약점을 이용하여 원격 코드 실행이 가능한 보안 문제이며, 이를 통해 공격자는 변조된 웹 사이트 또는 이메일을 통해 악성 웹 사이트로 접속을 유도하는 방식으로 악성코드 감염을 시킬 수 있는 문제가 있습니다.
현재 공식적인 보안 패치가 제공되지 않고 있으므로 다음과 같은 임시 조치를 통해 문제를 해결하시기 바랍니다.
■ Windows XP 운영 체제 환경
Windows XP 운영 체제는 2014년 4월 보안 업데이트를 마지막으로 더 이상의 보안 패치를 제공하지 않으므로 Windows 7 또는 Windows 8.1 운영 체제로 업그레이드를 하시기 바랍니다.
만약 Windows XP 운영 체제를 지속적으로 사용해야 할 경우에는 Enhanced Mitigation Experience Toolkit(EMET) 도구 또는 바이로봇 APT Shield 취약점 공격 차단 솔루션을 이용하시기 바랍니다.(※ 일부 Anti-Virus 보안 제품을 사용하는 사용자는 자체 Anti-Exploit 기술이 존재하므로 필요하지 않을 수도 있습니다.)
■ Windows Vista 운영 체제 환경
Windows Vista 운영 체제 환경의 Internet Explorer 8 버전 사용자는 Windows Update 기능을 이용하여 Internet Explorer 9 버전으로 업데이트를 하시기 바랍니다.
■ Windows 7 운영 체제 환경
Windows 7 운영 체제 환경의 Internet Explorer 8 버전 사용자는 Windows Update 기능을 이용하여 Internet Explorer 11 버전으로 업데이트를 하시기 바랍니다.
현재까지 CVE-2014-1770 취약점을 이용한 악성코드 유포에 대한 정보는 확인되지 않고 있지만, 취약점에 대한 정보가 공개된 현실에서 실제적인 공격으로 악용할 소지가 매우 높으므로 Internet Explorer 8 버전 사용자는 매우 주의하시기 바랍니다.