[서울=뉴시스]윤정민 기자 = 엔키화이트햇이 서버에 공격용 데이터를 보내지 않고 내부 실행 환경을 살펴 '노드제이에스(Node.js)' 보안 취약점을 점검하는 도구를 공개했다. 취약점을 재현하는 과정에서 서비스가 중단될 수 있다는 우려를 줄이려는 취지다.

엔키화이트햇은 고위험 취약점 '노드투쉘(Node2Shell)' 대응을 위한 내부 점검 스크립트를 배포했다고 27일 밝혔다.

Node.js는 자바스크립트로 작성한 프로그램을 서버 등에서 실행하는 소프트웨어다. 이번 취약점은 압축 데이터를 풀어주는 '브로틀리' 디코더가 조작된 입력을 처리할 때 허용된 메모리 영역을 벗어나 데이터를 기록하는 결함이다. 악용되면 서비스 중단이나 메모리 정보 노출, 원격 코드 실행으로 이어질 수 있다.

공격용 데이터를 보내 취약점을 재현하는 방식으로 외부에서 점검하면 서버 자원이 소모되거나 실행 중인 프로그램이 멈출 수 있다. 또 서버가 보내는 응답만으로는 내부의 패치 적용 상태를 정확히 판단하기 어려울 수 있다.

이번 도구는 서버 내부에서 실행 중인 Node.js 프로세스와 패치 관련 정보를 수집해 취약 여부를 판단하도록 설계됐다. 회사 측은 외부에서 공격용 데이터를 전송하지 않는 방식으로 운영 환경을 점검할 수 있다고 설명했다.

이용 기업은 전용 진단 웹페이지에서 운영체제에 맞는 스크립트를 내려받아 실행하면 된다. 결과는 '수정 버전 사용', '취약 의심', '입력 경로 확인 필요' 등으로 표시된다.

점검과 함께 보안 업데이트도 필요하다. Node.js 개발팀은 지난 21일 해당 취약점을 수정한 버전을 공개했다. 공격자가 제공한 브로틀리 압축 데이터를 애플리케이션이 해제하는 경로가 공격에 악용될 수 있다.

엔키화이트햇은 자사 공격표면관리 서비스 '오펜 ASM'으로 외부에 노출된 자산의 점검 우선순위를 정하고 내부 스크립트로 실제 운영 환경을 검증하는 방식을 권고했다.

이성권 엔키화이트햇 대표는 "서비스 가용성 저하 우려로 점검을 망설이던 기업들이 안전한 내부 점검 스크립트를 활용해 취약 경로를 즉시 식별하고 신속한 보안 패치에 나서길 바란다"고 말했다.


◎공감언론 뉴시스 alpaca@newsis.com