MSSQL 2016 버전 인증서 관련 취약점

Question

안녕하세요.

Nessus 스캔 도구를 통해 취약점 점검을 진행하던 중 SSL Certificate Signed Using Weak Hashing Algorithm 취약점이 발견되었습니다.

참조 링크 : https://www.tenable.com/plugins/nessus/35291

위 취약점은 SSL 인증서에 취약한 암호화 알고리즘(sha-1)이 사용되어 도출되는 취약점입니다.

해당 취약점이 발생한 포트는 1433 포트이며, MSSQL 2017 버전 이하에서 발견되었고, MSSQL 에서 자체적으로 사용하는 인증서에서 해당 취약점이라고 판단 됩니다.

인증서 정보

The following certificates were part of the certificate chain sent by the remote host, but contain hashes that are considered to be weak.

Subject : CN=SSL_Self_Signed_Fallback

Signature Algorithm : SHA-1 With RSA Encryption

Valid From : Apr 12 07:46:44 2024 GMT

Valid To : Apr 12 07:46:44 2054 GMT

관련 CVE 코드는 CVE-2005-4900 입니다.

MSSQL 2016 EoS가 2026년까지 2년 남았기 때문에, 위 취약점 조치를 위해 모든 운영자에게 MSSQL 2017 이상 업데이트를 강제하기 어려운 상황입니다.

관련해서 Microsoft에서 MSSQL 2016 버전 보안 패치 중 해당 취약점 Fix된 내용이 있는지 확인 부탁드립니다.

감사합니다.

Answer 1

이 응답은 자동으로 번역되었습니다. 따라서 문법 오류 또는 이상한 표현이 있을 수 있습니다.

안녕하세요

MSSQL 2016의 최신 누적 업데이트를 설치해 볼 수 있습니다.

SQL Server의 최신 업데이트 및 버전 기록 - SQL Server | 마이크로소프트 런

감사합니다

몰리

Answer 2

안녕하세요.

해당 답변이 무슨 말씀이신지 이해할 수 없습니다.

MSSQL 2016의 최신 버전을 설치해보라는 말씀이신가요?

해당 버전 패치에 위 취약점이 Fix된 건지 확인 부탁 드립니다.

감사합니다.

Answer 3

이 응답은 자동으로 번역되었습니다. 따라서 문법 오류 또는 이상한 표현이 있을 수 있습니다.

안녕하세요

어쩌면 MSSQL 2016의 최신 업데이트를 설치해 볼 수 있습니다.

감사합니다

몰리

Answer 4

안녕하세요.

말씀하신 MSSQL 2017버전으로 업데이트 시 해당 취약점을 해결할 수 있다는 것은 이미 알고 있습니다.

아래 보시는 것 처럼 MSSQL 2016 버전에 대한 연장된 종료 날짜가 2026년 7월 14일이고, 해당 연장 지원 날짜까지는 패치 또는 보안 업데이트를 제공하는 것으로 알고 있습니다.

관련하여 보안 업데이트를 제공할 계획은 없는 건지 궁금합니다.

Answer 5

이 응답은 자동으로 번역되었습니다. 따라서 문법 오류 또는 이상한 표현이 있을 수 있습니다.

안녕하세요

Microsoft 커뮤니티 포럼에 게시해 주셔서 감사합니다.

설명에 따르면 귀하의 질문이 취약점과 관련이 있음을 이해합니다.

MSSQL 2016의 SHA-1 (Weak Hashing Algorithm)을 사용하여 서명 된 SSL 인증서의 취약점에 대한 귀하의 우려를 이해합니다. CVE-2005-4900으로 식별된 이 취약점은 공격자가 콘텐츠를 스푸핑하거나, 피싱 공격을 수행하거나, 메시지 가로채기(man-in-the-middle) 공격을 실행할 수 있도록 허용할 수 있으므로 실제로 심각한 문제입니다.

내가 찾은 정보에 따르면 MSSQL 2016의 자체 서명 된 인증서는 기본적으로 SHA-1 알고리즘을 사용하는 것으로 보입니다. MSSQL 2017부터 자체 서명된 인증서는 더 안전한 SHA-256 알고리즘을 사용합니다.

MSSQL 2016에 대한 모든 보안 업데이트 및 패치가 적용되어 시스템을 최신 상태로 유지하면 다른 잠재적 인 취약점을 완화하는 데 도움이 될 수 있습니다.

즐거운 하루 보내세요. 

감사합니다

몰리