[OWASP 2017] A9 알려진 취약점이 있는 구성 요소 사용

1. 개요

이 문제에 대한 확산은 매우 광범위하다.

패치 관리 프로세스가 있어야 한다.

​

2. 영향

가장 큰 유출 사고들 중 일부는 이 취약점을 악용한 것이다.

​

3. 취약점 확인

1) 취약한, 지원되지 않는, 오래된 버전의 소프트웨어인가?

2) 구성요소의 구성 정보를 보호하고 있는가?

​

4. 시나리오

1) 코딩 오류, 구성 요소 내 백도어에서 발생할 수 있다.

=> 예 : 스트럿츠 2 원격코드 실행 취약점, 패치하기 어렵거나, 불가능한 사물 인터넷

=> 자동화된 도구로는 shodan IoT 검색 엔진이 있다.

​

5. 보안 대책

1) 사용하지 않는 종속성, 불필요 기능, 구성 요소, 파일과 문서 제거한다.

2) versions, DependencyCheck, retire.js 같은 도구를 사용하여 관리한다.

3) CVE와 NVD 구성요소 내 취약점을 지속적으로 모니터링한다.

4) 서명된 패키지를 사용한다.

​

* retire.js 에 대한 글

[WEB HACKING] Retire.js를 이용해 JS Library 취약점 찾기 (hahwul.com)

[WEB HACKING] Retire.js를 이용해 JS Library 취약점 찾기

* shodan

Shodan Search Engine

Shodan

출처 : OWASP Top Ten Web Application Security Risks | OWASP