CVE 잘 아시는 분 계실까요

Question

안녕하세요 회사 다닌지 두달된 병아리 개발자입니다.유지보수 업무를 급하게 맡게 되어 사수 없이 최선을 다해 요구사항을 들어주는 중인데요ECR에서 스캔 시 취약점을 AWS에서 검사해주는데 그 중 HIGH라고 적힌 CVE를 해결하라고 합니다.하지만 저는 aws에서 ec2 가지고 한번 서버 열어본게 전부여서 뭐가 뭔지 1도 모르겠지만 우선 구글에 검색부터 해봤습니다.CVE-2022-24407검색해도 나오는 내용도 없고, 배포 중에 버전 문제일까 싶어 build.gradle에서 버전도 업데이트 해서 다시 스캔해봤지만결과는 동일..ECR에서 보여주는 이 CVE 취약점들을 어떻게 처리하는지 알 수 있을까요..?선배님들의 빛나는 지식과 경험이 저에게 절실합니다.

쿠잉 · Answer

https://ubuntu.com/security/CVE-2022-24407하단에 있는 reference 도 읽어보셨나요?

Unknown_ · Answer

쉽게 생각하시면 소프트웨어 자산에 대한 보안 취약성이 발견된 것입니다. 네, 그냥 프로그램이요. 그리고 HIGH 라고 적힌 것은 해당 취약점의 위험도입니다. 레벨이 높을수록 보안이 뚫림에 있어 취약하다, 이런 기준입니다. 그 중에서도 'CVE-2022-24407' 라는 ID 값을 가진 친구를 처리하라고 하시네요.구글에 해당 CVE ID 값을 검색합니다. 여러개가 뜹니다.점수나 벡터 값 같은 것은 작성자가 알 필요는 없습니다.설명을 읽어보겠습니다. 2.1.28 이전의 Cyrus SASL 2.1.17~2.1.27에서 plugins/sql.c는 SQL INSERT 또는 UPDATE 문에 대한 암호를 이스케이프하지 않습니다.이것만 들어서는 뭔 소린지 잘 모르겠습니다. 다른 검색 결과를 통해 알아보겠습니다. Cyrus SASL과 함께 제공되는 SQL 플러그인에서 결함이 발견되었습니다. 이 취약점은 SQL 입력을 제대로 이스케이프하지 못하여 발생하며 부적절한 입력 유효성 검사 취약점으로 이어집니다. 이 결함으로 인해 공격자는 임의의 SQL 명령을 실행할 수 있고 권한 상승을 허용하는 다른 계정의 암호를 변경할 수 있습니다.이거는 그나마 알아들을 수 있을 것 같습니다. Cyrus SASL 라는 놈한테 SQL 관련한 문제가 발생했나 봅니다.아 참, 말씀드리는 걸 깜빡했습니다. CVE 취약점은 오로지 패치로만 처리가 가능합니다.그러고보니 3번 설명에 버전이 기재되어 있군요. '2.1.28' 이전의 어쩌고~2.1.28 이상의 버전으로 Cyrus SASL 이라는 놈을 업그레이드 후 다시금 진단을 돌려봅시다.높은 확률로 다른 CVE 취약점들이 나올 수도 있습니다. ^^...참고https://cve.mitre.org/cgi-bin/cvename.cgi?name&#61;CVE-2022-24407https://nvd.nist.gov/vuln/detail/CVE-2022-24407https://access.redhat.com/security/cve/cve-2022-24407

CVE 잘 아시는 분 계실까요

2개의 답변

#ecr 목록