1. IE8의 세션정보 공유 기능에 대한 관심
가. IE8에서 추가된 기능중에 세션정보 공유가 이슈화 되었습니다.
여러명이 사용하는 공개된 PC에서 인터넷 사용 후 로그아웃 또는 실행중인 브라우저를 모두 종료하지 않으면,
로그인 상태가 그대로 유지돼 다음 사용자가 타인의 E-mail 등을 열람 가능하여 개인정보 및 사생활 침해 문제가
발생할 수 있습니다.
사실 세션정보 공유 기능은 파이어폭스, 사파리, 오페라, 크롬 등 대부분의 웹브라우저에서 기존에 기능을 가지고
있었지만 사용자 점유율이 높은 IE가 8버전으로 업데이트되면서 이슈로 올라온 사항입니다.
나. 대응 방안
(1) 중요한 사이트에서 로그인해 사용한 경우에는 사용이 끝나면 반드시 로그아웃 처리하고, 공개된 PC를 사용하는
경우에는 사용이 끝나면 실행중인 모든 브라우저를 종료해야 합니다.
(2) 세션공유 해제 방법으로는 실행시 -nomerge를 추가하는 방법이 있습니다.
IE8 속성에서 대상부분을 "c:\Program Files\Internet Explorer\iexplore.exe" -nomerge 으로 변경합니다.
다. 관련 링크
(1) http://kr.ahnlab.com/info/securityinfo/secuinfo/newSecuNewsView.ahn?category=003&mid_cate=001&cPage=1&seq=14329
2. IE8의 추가된 보안기능
가. IE8으로 업데이트 되면서 아래와 같은 보안기능이 보강되었습니다.
(1) 멀웨어 보호
(2) XSS 필터
(3) 탭 분리 및 자동 오류 복원
(4) 주소 표시줄의 도메인 강조
(5) InPrivate 브라우징 필터링 기능(피싱기능)
(6) 주소 표시줄 항목 삭제 기능
(7) 검색 설정 보호 기능
(8) 클릭재킹 보호
(9) 각 사용자 별 Active X
(10) DEP/NX 메모리 보호
(11) 크로스 문서 메시지 대응
하지만 http://teamcrak.tistory.com/86 에서도 게시되어 있듯이 완벽한 보안은 없기 때문에 항상 주의해야 합니다.
나. 관련 링크
(1)
(2) http://archvista.net/1142
3. WebDAV 디렉토리 우회 취약점
가. MS는 예전부터 꾸준하게 디렉토리 Traversal 취약점이 나와 골머리를 앓고 있습니다.
WebDAV 취약점은 몇년전에도 이슈가 되었던 적이 있었습니다.
이번 취약점은 IIS 5, 5.1, 6.0 버전의 웹 서버의 WebDAV가 활성화된 상태로 동작되고 있을 경우 나타날 수 있는
취약점 입니다. 자세한 사항은 아래 "다. 관련 링크"를 눌러 확인해 보시기 바랍니다.
나. 대응 방안
(1) 가장 좋은 방안은 WebDAV를 사용하지 않는다면 비활성화 시키는 것이고,
그 밖에 자세한 내용은 아래 "다. 관련 링크"를 확인해 보시기 바랍니다.
다. 관련 링크
(1) http://www.milw0rm.com/exploits/8704
(2) http://nchovy.kr/forum/2/article/443 (한글번역)
(3) http://blogs.technet.com/srd/archive/2009/05/18/more-information-about-the-iis-authentication-bypass.aspx
(4) http://www.gossamer-threads.com/lists/fulldisc/full-disclosure/68347
(5) http://isc.sans.org/diary.html?storyid=6397&rss
(6) http://www.securityfocus.com/bid/34993
(7) http://blogs.technet.com/msrc/archive/2009/05/18/microsoft-security-advisory-971492.aspx
(8) http://www.microsoft.com/technet/security/advisory/971492.mspx
