PHP 이어 오라클·노드JS도 치명적 보안 결함…기업·기관 보안 업데이트 비상

[서울=뉴시스]윤정민 기자 = 웹사이트 개발·운영에 쓰이는 'PHP'의 치명적 취약점으로 긴급 대응이 이어지는 가운데 오라클 기업용 소프트웨어와 서버 프로그램 실행에 쓰이는 '노드JS(Node.js)'에서도 보안 결함이 동시다발적으로 공개됐다.

아이디와 비밀번호 없이 외부에서 시스템에 침투하거나 공격자가 원하는 악성 코드를 마음대로 실행할 수 있는 고위험 결함들이다.
기업과 기관이 업무와 웹서비스 운영에 사용하는 소프트웨어 전반에 대한 긴급 점검이 요구된다.

오라클은 지난 20일(현지 시간) 정기 보안 업데이트를 발표하고 패치 1295개를 배포했다. 이번 업데이트는 33개 제품군에 걸친 취약점 1209건을 수정하는 규모다.

특히 취약점 위험도 평가체계인 'CVSS'에서 최고점인 10점을 받은 결함이 6건 포함됐다. 기업용 업무 솔루션 'E-비즈니스 스위트'의 알림 메일 기능과 인증 관리 제품 '액세스 매니저' 등에서 발견됐다. 업무 시스템을 연결하는 'SOA 스위트'와 업무 자동화 도구 'JD 에드워즈 엔터프라이즈원 오케스트레이터'도 해당한다.

이들 결함은 모두 별도 인증 없이 네트워크를 통해 악용할 수 있는 것으로 평가됐다. 공격이 성공할 경우 기업 내부 정보가 유출되거나 데이터가 변조되고 전체 업무 시스템이 마비될 수 있다. 다만 오라클은 이번 공지에서 해당 6건을 악용한 실제 해킹 공격이 아직 확인되지는 않았다고 밝혔다.

 서버 프로그램 실행을 돕는 인기 플랫폼인 '노드JS' 개발진도 취약점 10건을 수정한 보안 업데이트를 배포했다. 위험도는 '높음' 4건, '중간' 3건, '낮음' 3건이다. 노드JS는 프로그래밍 언어인 자바스크립트로 만든 프로그램을 서버 등에서 실행하도록 돕는 소프트웨어다.

주요 결함은 압축 데이터를 해제하는 '브로틀리(Brotli)' 처리 과정에서 발견됐다. 데이터를 허용된 메모리 영역 밖에 기록하는 오류다. 이를 악용하면 공격자가 원격으로 코드를 실행할 수 있다.

접속 상대가 올바른 서버인지 확인하는 보안 인증서 검증 절차를 우회할 수 있는 결함도 수정됐다. 특정 방식으로 표기한 IP 주소 등을 처리할 때 검증이 제대로 이뤄지지 않는 문제다. 이 밖에 일부 실행 환경에서 무작위로 생성돼야 할 값이 반복되거나 허용 범위를 벗어난 파일에 접근할 수 있는 결함도 포함됐다.

노드JS를 사용하는 기업·기관 시스템 관리자는 운영 중인 버전 계열에 따라 수정 버전으로 업데이트해야 한다. 지원이 종료된 버전 이용자는 보안 지원을 받는 버전으로 전환할 필요가 있다.

오라클과 노드JS를 이용하는 기업·기관 전산 관리자는 즉시 최신 수정 버전으로 업데이트를 진행해야 한다. 이미 공식 지원이 끝난 구형 버전을 쓰고 있다면 지원 가능한 버전으로 교체해야 한다.

직접 쓰는 업무 프로그램뿐 아니라 데이터베이스와 시스템을 연결하는 '미들웨어' 등 연동 프로그램도 함께 점검할 필요가 있다.

오라클은 이미 패치가 나온 취약점을 노린 해커들의 공격 시도가 끊이지 않고 있으며, 업데이트를 미루다 피해를 본 사례도 발생했다고 경고했다.

네트워크 접근을 일부 차단하는 임시 조치만으로는 결함 자체가 사라지지 않으므로 신속한 패치 적용이 필수적이다.


◎공감언론 뉴시스 [email protected]