[서울=뉴시스]윤정민 기자 = 웹 서버가 압축된 데이터를 처리하는 과정에서 공격자가 서버를 멈추거나 제어권을 빼앗을 수 있는 '노드제이에스(Node.js)' 취약점에 대해 티오리가 긴급 대응 가이드를 내놨다. 개발자가 압축 기능을 직접 구현하지 않았더라도 외부 데이터를 처리하는 경로에 따라 영향을 받을 수 있어 점검이 필요하다고 설명했다.

티오리는 취약점 '노드투쉘(Node2Shell)'을 자체 재현·검증하고 기업·기관을 위한 대응 방안과 무료 온라인 진단 서비스를 공개했다고 26일 밝혔다.

노드제이에스(Node.js)는 자바스크립트로 작성한 프로그램을 서버 등에서 실행하도록 해주는 소프트웨어다. 이번 결함은 노드제이에스에 포함되거나 연결된 '브로틀리' 압축 해제 모듈에서 발생한다. 조작된 압축 데이터를 처리하다 허용된 메모리 영역 밖에 데이터를 쓰면서 프로그램 메모리가 손상되는 방식이다.

공격자가 보낸 데이터가 취약한 압축 해제 모듈까지 전달되는 환경에서는 별도 인증 없이 공격이 가능하다. 쇼핑몰·앱 등의 서버가 조작된 압축 데이터를 처리하다 멈추거나 내부 정보가 노출될 수 있다. 공격자가 서버에서 원하는 명령을 실행해 서비스 운영에 개입할 가능성도 있다.

이에 노드제이에스 프로젝트는 최근 해당 결함을 '높음' 등급으로 분류하고 수정 버전을 공개했다.

티오리는 웹 개발 도구 '익스프레스 5'의 요청 데이터 처리 기능과 노드제이에스의 외부 데이터 요청 기능인 'fetch()', 주요 통신 라이브러리 등을 노출 경로로 제시했다. 애플리케이션 코드에 오류가 없어도 이들 기능을 통해 조작된 데이터가 취약한 모듈로 전달되면 영향을 받을 수 있다는 설명이다.

보안 업데이트 대상은 노드제이에스 22·24·26 계열이다. 각 계열에서 결함을 수정한 22.23.4, 24.22.1, 26.12.1 버전 또는 이후 보안 업데이트를 적용해야 한다. 티오리는 공식 지원이 종료된 노드제이에스 20 이하 버전을 사용하는 경우 운영체제 배포판이나 장기지원 업체의 패치 제공 여부를 확인하도록 안내했다.

티오리는 즉시 업데이트하기 어려운 환경을 위한 임시 대응책도 공개했다. 엔진엑스(Nginx) 등 서버 앞단에서 요청을 받아 전달하는 소프트웨어와 애플리케이션에서 공격 경로를 차단하도록 하는 방안이다.

무료 진단 서비스에서는 별도 점검 스크립트를 설치하지 않고 서비스 주소를 입력해 노출 위험을 확인할 수 있다.

임준오 티오리 AI·사이버 시큐리티 팀 총괄은 "이번 노드투쉘 취약점은 개발자가 압축 기능을 직접 쓰지 않았더라도 웹 프레임워크가 응답을 처리하는 과정에서 자동으로 공격에 노출될 수 있어 사전 차단이 무엇보다 중요하다"고 말했다.


◎공감언론 뉴시스 alpaca@newsis.com