구글 압축기술 결함 도미노…노드JS·파이썬 이어 PHP 윈도 버전까지 뚫렸다

[서울=뉴시스]윤정민 기자 = 구글의 데이터 압축 기술 '브로틀리(Brotli)'에서 비롯된 'HTTP투쉘(HTTP2Shell)' 보안 결함 파장이 노드JS와 파이썬을 넘어 다시 PHP까지 덮쳤다.

PHP 개발팀은 치명적 보안 결함을 수정한 지 불과 닷새 만에 윈도용 설치 패키지를 긴급 재배포했다. 앞서 노드JS와 파이썬 등에서 연쇄 발견된 압축 프로그램 결함이 윈도용 PHP 패키지에도 똑같이 포함된 사실이 뒤늦게 확인됐기 때문이다.

보안 업데이트를 마친 서버 관리자들도 추가 점검이 시급한 상황이다.

26일(현지 시간) PHP 개발팀은 윈도용 PHP 8.2~8.5 패키지에 최신 '브로틀리' 1.2.1 버전을 반영한 긴급 수정 배포본을 공개했다.

브로틀리는 웹페이지와 전송 데이터의 용량을 줄여 인터넷 속도를 높이는 핵심 압축 기술이다. 위험도 점수가 최고 등급에 가까운 9.2점에 달하는 치명적 취약점이다.

공격자가 특수하게 조작한 가짜 압축 데이터를 보내면, 이를 해제하는 과정에서 시스템이 허용한 메모리 경계를 넘어 데이터를 덮어쓰는 오류가 발생한다. 이 결함을 악용하면 웹서버 메모리가 손상되고 해커가 원하는 악성 코드가 그대로 실행될 수 있다.

이번 사태는 특정 프로그램의 자체 오류가 아니다. 구글이 개발해 여러 소프트웨어가 공통으로 써온 '브로틀리' 압축 라이브러리 자체에 구멍이 뚫리면서 파장이 전방위로 커지는 양상이다.

앞서 노드JS를 시작으로 파이썬용 압축 모듈과 웹 통신 중계 프로그램 '엔보이', 자바스크립트 실행 환경 '번' 등에서 같은 결함이 잇따라 터진 바 있다.

이번에 긴급 배포된 수정 배포본은 PHP 자체 버전이 기존과 같고 패키지명 끝에 '-1'이 붙는 것으로 구분된다. 운영자는 공식 다운로드 페이지에서 수정 배포본을 확인하고 사용 중인 윈도용 패키지에 업데이트가 반영됐는지 살펴야 한다.

전문가들은 앞서 보안 업데이트를 마친 관리자라도 방심하지 말고 윈도용 패키지 추가 업데이트를 즉시 진행해야 한다고 당부했다.


◎공감언론 뉴시스 [email protected]