역직렬화 취약점 패치의 어려움

지난주, 에퀴팩스(Equifax) 데이터 유출 사고의 원인으로 Apache Struts REST 플러그인의 취약점이 지목되었습니다. 해당 플러그인의 구버전은 XStream 핸들러를 사용하여 XML 페이로드를 처리할 때 원격 코드 실행 공격에 취약합니다. 그 원인은 신뢰할 수 없는 데이터의 역직렬화이며, 이는 잘 알려진 취약점 유형입니다. 공식적으로 CVE-2017-9805로 명명된 이 취약점은 9월 5일 Apache Struts 2.5.13 버전에서 패치되었습니다. 이후 이 내용은 발표되었으며 Apache Struts 문서에 명확히 기록되었습니다.

최신 Struts 버전으로 업그레이드하기만 해도 이러한 공격으로부터 애플리케이션을 보호할 수 있는데, 왜 기업들은 즉시 업그레이드하지 않을까요? 역직렬화 취약점의 문제는 악용되는 루틴이 종종 애플리케이션 코드에서 의존하는 부분이라는 점입니다. 이번 사례의 경우, 문서에서 언급했듯이 "사용 가능한 클래스에 대한 기본 제한이 적용되어 일부 REST 작업이 중단될 수 있습니다."라는 부작용이 발생할 수 있습니다. 따라서 최신 버전의 Struts에서도 애플리케이션이 정상적으로 작동하도록 확인하는 데 시간이 걸릴 가능성이 매우 높습니다.

하지만 해커들은 공개된 취약점을 악용하는 데 많은 시간이 필요하지 않으며, 이미 일부 익스플로잇이 공개된 것을 볼 수 있습니다. Apache가 취약점을 패치한 지 3일 후인 9월 8일에는 Metasploit 모듈이 추가되었습니다. 패치를 미루는 것은 결코 좋은 생각이 아닙니다!

해결책은 Apache가 제안한 우회 방법을 구현하는 것이며, 이는 더 짧은 시간 내에 수행할 수 있습니다. 구성 가능한 코딩 가이드라인을 갖춘 보안 도구를 사용하여 이 우회 방법을 강제하거나 자동으로 적용하면 프로세스 속도를 크게 높일 수 있습니다.

신뢰할 수 없는 데이터의 역직렬화가 포함된 코드를 식별하고 보호하는 방법에 대해 더 알고 싶으신가요? Secure Code Warrior 포털을 방문하여 명확한 설명과 실습 과제를 확인해 보세요.

이 취약점은 Struts가 해당 데이터를 구문 분석하여 Java 프로그래밍 언어로 해석 가능한 정보로 변환하는 방식과 관련이 있습니다. 취약점이 성공적으로 악용되면 악성 코드가 데이터 내부에 숨겨질 수 있으며, Struts가 이를 변환하려고 할 때 코드가 실행됩니다.

https://qz.com/1073221/the-hackers-who-broke-into-equifax-exploited-a-nine-year-old-security-flaw/