Offcanvas
모든 상용 소프트웨어 중 오픈소스 취약점을 하나 이상 갖고 있는 비율
84
%
자료 제목 :
2023 오픈소스 보안 및 위험 분석 리포트
2023 Open Source Security and Risk Analysis
자료 출처 :
Synopsys
원본자료 다운로드
발행 날짜 :
2023년 02월 22일

랜섬웨어 / 보안 / 악성코드 / 애플리케이션 / 오픈소스

“코드베이스 84%서 최소 하나 이상의 오픈소스 취약점 발견돼”

2023.02.24 Apurva Venkat  |  CSO
애플리케이션 보안 업체 시놉시스(Synopsys)의 사이버 보안 연구센터(Cybersecurity Research Center; CyRC)의 보고서에 따르면 거의 모든 소프트웨어가 오픈소스 코드를 쓰고 있는 가운데 모든 상용 및 독점 코드 베이스의 84%에서 최소 하나 이상의 오픈소스 취약점이 발견됐다. 

아울러 코드베이스의 48%에는 활발하게 악용됐거나, 이미 PoC 익스플로잇이 문서화됐거나, 원격코드실행 취약점으로 분류되는 고위험 취약점이 포함된 것으로 조사됐다. 
 
ⓒGetty Images Bank

CyRC의 2023년 오픈소스 보안 및 위험 분석(Open Source Security and Risk Analysis; OSSRA) 보고서는 인수합병에 따른 코드베이스 감사를 통해 17개 산업에 걸친 오픈소스 사용 트렌드를 분석했다(시놉시스의 감사 서비스(Audit Service) 부서는 인수합병과 관련된 기업의 소프트웨어 위험을 식별하기 위해 코드를 감사한다). 1,481개의 코드베이스에서 취약점 및 오픈소스 라이선스 컴플라이언스를 조사했으며, 기타 222개의 코드베이스는 컴플라이언스만 검토했다. 

증가하는 오픈소스 취약점
OSSRA 보고서는 2022년 수행된 코드 감사를 기반으로 하며, [보고서에 의하면] 알려진 오픈소스 취약점의 수가 2021년보다 4% 증가했다. “오픈소스는 거의 모든 것에서 사용됐다. 이는 산업 전반에 걸쳐 코드베이스의 대부분을 차지했다. 하지만 이러한 코드베이스에는 기업들이 패치하지 못한 취약점이 많이 포함돼 있어 익스플로잇에 취약하다”라고 보고서는 전했다. 

항공우주/항공/자동차/운송/물류 부문의 기업에서 조사한 코드베이스에는 오픈소스 코드가 포함돼 있었으며, 오픈소스 코드는 전체 코드의 73%를 차지했다. 또한 코드의 63%에는 CVSS 심각도 점수가 7점 이상인 고위험 취약점이 포함돼 있었다. 

에너지 및 청정 기술 부문에서는 전체 코드의 78%가 오픈소스였으며, 69%가 고위험 취약점을 포함했다. 보고서는 에너지 및 청정 기술 부문의 코드베이스가 다른 부문보다 취약점 비율이 높았지만 “정도의 차이만 있을 뿐 비슷한 결과가 모든 산업에 걸쳐 나타났다”라고 밝혔다. 

오픈소스 채택 급증
보고서에 의하면 지난 5년 동안 모든 산업 부문의 코드베이스에서 오픈소스 코드의 비율이 증가했다. 2018년에서 2022년 사이 스캔된 코드베이스 내 오픈소스 코드의 비율은 교육 부문에서 163%, 항공우주/항공/자동차/운송/물류 부문에서 97%, 제조 및 로봇공학 부문에서 74% 증가했다. “에드테크(EdTech)의 폭발적인 오픈소스 성장은 팬데믹에 기인하는 것으로 분석된다. 교육이 온라인으로 진행되고, 소프트웨어가 중요한 기반 역할을 하고 있다”라고 보고서는 언급했다. 

고위험 취약점 증가
모든 부문에서 고위험 취약점도 증가했다. 예를 들면 항공우주/항공/자동차/운송/물류 부문에서 5년 동안 고위험 취약점이 232% 증가했다고 보고서는 전했다. 시놉시스는 “이 산업에서 사용되는 대부분의 소프트웨어 및 펌웨어가 폐쇄된 시스템 내에서 작동한다. 이로 인해 익스플로잇 가능성이 줄고, 패치해야 할 필요성이 시급하지 않을 수 있다”라고 설명했다. 

IoT 관련 코드베이스의 고위험 취약점은 2018년 이후 130% 늘어났다. “이는 IoT 기기 사용을 고려할 때 특히 우려된다. 많은 사람이 삶의 많은 측면을 IoT 기기에 연결하면서 기기의 안전을 신뢰하고 있기 때문이다”라고 보고서는 지적했다. 

패치가 적용되지 않음  
시놉시스 연구진이 조사한 1,481개의 코드베이스 중 91%에는 오래된 버전의 오픈소스 구성요소가 포함돼 있었는데, 이는 [사용할 수 있는] 업데이트 또는 패치를 적용하지 않았다는 의미다. 데브섹옵스팀에서 최신 버전을 적용하여 얻을 수 있는 이점보다 의도하지 않은 결과의 위험이 더 크다고 판단했기 때문일 수 있다. 연구진은 시간과 자원도 하나의 이유라고 언급했다. 

보고서는 “이미 많은 팀이 새로운 코드를 구축하고 테스트하는 데 한계에 부딪히고 있기 때문에 가장 중요한 문제를 제외하고는 기존 소프트웨어 업데이트의 우선순위는 낮아질 수 있다”라고 설명했다. 아울러 데브섹옵스팀은 사용 가능한 최신 버전의 오픈소스 구성요소가 있는지조차 모를 수도 있다고 보고서는 덧붙였다. 

SBOM은 코드 품질 및 컴플라이언스를 유지하는 데 도움이 된다. 보고서는 취약점 악용을 방지하고 오픈소스 코드를 업데이트하려면 SBOM을 사용해야 한다고 권고했다. 포괄적인 SBOM에는 애플리케이션의 모든 오픈소스 구성요소뿐만 아니라 라이선스, 버전, 패치 상태가 나와 있다. 오픈소스 구성요소의 SBOM을 통해 기업은 위험한 구성요소를 신속하게 찾아내고, 적절하게 수정 우선순위를 지정할 수 있다고 보고서는 전했다. ciokr@idg.co.kr
 
CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
Sponsored
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.