🇰🇷 한글 설명
Bluemix 플랫폼의 IBM Watson Developer Cloud 서비스에서 서비스 인스턴스 자격 증명을 위한 난수를 적절하게 생성하지 못하는 취약점이 발견되었습니다. 이로 인해 원격 공격자가 무차별 대입 공격(Brute-force attack)을 통해 암호화 보호 메커니즘을 무력화하기가 더 쉬워집니다.
💡 쉬운 설명
서비스 접속에 필요한 비밀번호를 만들 때 예측하기 쉬운 숫자를 사용하여 보안이 취약해진 상태입니다. 해커가 무작위로 숫자를 대입하여 실제 비밀번호를 알아내기가 매우 쉬워집니다.
🇺🇸 원문 (English)
The IBM Watson Developer Cloud services on Bluemix platforms do not properly generate random numbers for service-instance credentials, which makes it easier for remote attackers to defeat cryptographic protection mechanisms via a brute-force attack.
📍 영향받는 시스템
IBM Watson Developer Cloud services on Bluemix platforms
⚔️ 공격 벡터
원격에서 암호화 키를 예측하여 수행하는 무차별 대입 공격(Brute-force attack)
🛡️ 대응 방법
IBM에서 제공하는 보안 패치 적용 및 서비스 자격 증명(Credentials) 재발급
🔧 검증 코드
해당 서비스의 API 응답에서 Watson 서비스 관련 설정 및 자격 증명 생성 방식의 보안 업데이트 여부를 확인해야 합니다.
curl -s https://api.bluemix.net/v3/services | grep -i 'watson'