Offcanvas

보안

오라클 웹로직 서버서 '제로 데이' 보안 취약점 발견

2019.04.29 Lucian Constantin  |  CSO
복수의 보안 업체가 아직 패치되지 않아 악의적인 공격에 대응할 수 없는 오라클 웹로직(Oracle WebLogic) 서버의 보안 취약점을 경고하고 나섰다.
 
ⓒ Getty Images Bank

이 보안 취약점은 원격 코드 실행(remote code execution)에 악용될 수 있는 역직렬화(deserialization) 버그다. 'wls9_async_response'라고 불리는 특정 패키지에 들어 있다. 이 패키지는 모든 웹로직 서버 빌드에 기본으로 포함되지는 않지만, 해커가 이 컴포넌트가 포함된 서버만 노려 공격에 나설 가능성 있다.

이 패치되지 않은, 이른바 '제로데이(zero-day)' 보안 취약점을 처음 발견한 것은 중국 보안 기업인 노우섹(KnownSec)의 연구자였다. 처음에는 중간 정도의 위험도로 평가됐지만, F5 네트웍스(F5 Networks)와라텍(Waratek) 등이 경고를 발령하면서 널리 알려졌다.

SANS ISC(Internet Storm Center)의 분석에 따르면, 이 보안 취약점은 완전히 새로운 것이 아니다. 오라클이 기존 취약점을 패치한 것에 대해 새로운 우회 방법을 찾아낸 것이다. 기존 취약점의 CVE 번호는 CVE-2018-2628로, 지난해 이미 패치된 것으로 확인된다. ISC 핸들러 롭 반댄브린크는 블로그를 통해 "패치를 겨냥한 새 취약점이 나온 것으로 봐서 기존 패치가 완전하지 않았던 것으로 보인다. 혹은 기존 문제에 대한 오라클의 패치 방법에 문제가 있었던 것일 수도 있다"라고 말했다.

프로그래밍에서 직렬화(serialization)란 네트워크를 통해 안전하게 데이터를 보낼 수 있도록 데이터를 바이너리 포맷으로 변환하는 절차를 의미한다. 이렇게 변환된 데이터를 애플리케이션이 수신하면 다시 본래 형태로 변환하는데, 이것이 바로 역직렬화다. 이때 애플리케이션에서 신뢰할 수 없는 사용자의 입력을 파싱하는 것이 기존까지 주요 보안 취약점이 만들어지는 원리였다. 역직렬화도 이와 크게 다르지 않다. 해커가 악의적으로 위조한 직렬화된 입력을 애플리케이션이 처리하도록 할 수 있기 때문이다.

오라클은 지난해 이 문제를 해결하기 위해 블랙리스트 방식을 사용한 것으로 보인다. 위험성 있을 수 있는 명령을 막는 것이다. 그러나 이런 방식은 임시방편이 될 가능성이 크다. 해커가 이런 제한을 우회하는 방법을 찾으면 무력화되기 때문이다. 이번에 웹로직에서 새로 발견된 보안 취약점도 이 때문인 것으로 보인다. 이달 초 오라클은 분기별로 내놓는 정기 보안 패치를 공개했다. 따라서 다음 패치는 3개월 후에나 나오게 된다. 단, 오라클이 그사이에 임시 픽스를 내놓을지는 아직 확실치 않다.

오라클 웹로직은 자바 애플리케이션 서버로, 많은 기업이 기업용 애플리케이션을 빌드, 배포하는 데 사용한다. 워낙 많은 기업이 사용하고 있는 인기 툴이어서 그동안 계속 해커의 표적이 됐다. 예를 들어 XML 데이터 역직렬화 보안 취약점(CVE-2017-10271)은 기업 서버를 해킹해 암호통화를 채굴하는 악성코드를 설치하게 했다. 동시에 웹로직이 설치된 서버는 일반적으로 민감한 기업 데이터가 저장된 경우가 많다. 따라서 이런 보안 취약점은 자칫 심각한 데이터 유출로 이어질 수 있다.

SANS ISC는 정식 패치가 나올 때까지 임시 조치도 공개했다. 서버 관리자가 Z/_async/*, /wls-wsat/* 경로에 대한 접근을 제한하는 것이 좋다. 또는 wls9_async_response.war 컴포넌트를 삭제하는 방법도 있다. ciokr@idg.co.kr
CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
Sponsored
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.