글로벌 패치 대란: VxWorks 취약점으로 수백만 대의 기기 위협받아

VxWorks는 일반 소비자에게는 다소 생소한 이름일 수 있지만, 이 소프트웨어는 매일 우리 모두의 삶에 없어서는 안 될 중요한 역할을 하고 있습니다. 세계에서 가장 널리 사용되는 실시간 운영체제(RTOS)로서, 기업용 네트워크와 방화벽, 항공우주 인터페이스, 산업용 장비, 심지어 일부 의료 기기에 이르기까지 광범위한 분야에서 핵심적인 기반이 되고 있습니다.

그런데 지금, 수억 대, 어쩌면 수십억 대에 달하는 이 기기들이 최소 11개의 취약점으로 인해 해킹 위험에 노출되었다는 사실이 드러났습니다. 윈드 리버(Wind River)의 최고 보안 설계자인 알렌 베이커(Arlen Baker)는 SearchSecurity와의 인터뷰에서 정확한 규모는 확인되지 않았으며, 보도된 수치만큼 높지는 않을 것이라고 반박했습니다. 그럼에도 불구하고 데이터 유출과 공격은 끊임없이 발생하고 있으며, 이번 사태는 차원이 다릅니다. 확인된 결함들은 악용하기가 비교적 쉬우며, 네트워크 패킷 전송만으로도 공격자가 원격으로 기기를 제어할 수 있는 통로를 열어줄 수 있기 때문입니다.

물론 윈드 리버는 영향을 받는 고객과 파트너를 위해 일련의 수정 사항과 패치를 배포했습니다. 문제는 패치가 필요한 기기가 너무나 많다는 점입니다. 마치 타노스가 손가락을 튕겨 세상을 멸망시키듯, 필연적으로 많은 기기가 오랫동안 패치되지 않은 채 취약한 상태로 방치될 것입니다.

보안 업체 아미스(Armis)가 이 거대한 발견의 주역이며, 그들은 이번 취약점을 URGENT/11이라고 명명했습니다. 여러 경로를 통한 공격의 용이성과 광범위한 감염 가능성 때문에 이 사태를 매우 심각하게 보고 있습니다. MRI 스캐너부터 VoIP 제품, 철도 네트워크, 신호등에 이르기까지 모든 것을 구동하는 소프트웨어에 웜을 생성하고 배포하는 일이 충분히 가능하기 때문입니다.

이제 패닉에 빠져야 할까요?

보안 인식을 삶의 중요한 사명으로 삼고 있는 사람으로서, 저는 매일 수많은 잠재적 보안 문제를 목격합니다. 만약 패닉에 빠진다면 하루 종일 불안에 떨며 지내야 할 것입니다(결국 저는 패닉보다는 버그를 수정하고 교육하는 일에 집중하고 싶습니다!). 하지만 URGENT/11이 발견된 범위는 상당히 위협적입니다. 발견된 11개의 취약점 중 6개는 치명적인 것으로 간주됩니다. 더 해커 뉴스(The Hacker News)에 따르면, 이러한 결함은 버전 6.5 이후의 VxWorks를 실행하는 기기에 존재해 왔습니다(VxWorks 653 및 VxWorks Cert Edition과 같이 인증을 위해 설계된 버전은 제외). 즉, 10년 넘게 중요한 기술들이 기기 탈취 공격의 위협 아래 놓여 있었던 셈입니다. 모든 기기가 11개의 결함에 전부 취약한 것은 아니며(일부는 공격자가 동일한 LAB 서브넷에 있어야만 악용 가능), 평범한 해커라도 단 하나의 작은 기회만 있다면 충분히 공격할 수 있습니다.

윈드 리버가 신속하게 대응하여 문제 완화를 위한 상세한 조언을 제공했다는 점은 주목할 만하며, 아미스 역시 마찬가지입니다. VxWorks RTOS가 널리 채택된 이유는 그만큼 신뢰성이 높고 소프트웨어 안전 규정을 잘 준수하기 때문입니다. 보통 버그 바운티 사냥꾼들도 이 운영체제에는 크게 관심을 두지 않습니다. 하지만 보안 업체와 윈드 리버가 문제를 해결하는 데는 한계가 있습니다. 결국 패치를 다운로드하고 보안 권고를 따르며 자신의 기기를 보호하는 것은 최종 사용자의 몫이며, 바로 그 지점이 가장 어려운 부분입니다.

아직 패닉에 빠질 필요는 없을지 모르지만, 이 거대한 문제를 해결하려면 모두의 노력이 필요할 것입니다.

URGENT/11 취약점 설명

현재 버전 6.5 이후의 VxWorks TCP/IP IPnet 스택에 연결된 모든 기기는 URGENT/11 취약점 중 최소 하나 이상의 영향을 받을 수 있습니다. (윈드 리버에서 제공하는 CVE 전체 목록은 여기에서 확인하십시오).

대부분의 결함은 원격 코드 실행(RCE) 및 서비스 거부(DoS) 공격을 허용하며, 일부는 정보 노출 및 비즈니스 로직 문제를 야기합니다. 특히 원격 코드 실행은 매우 민감한 문제인데, 공격자가 최종 사용자의 상호작용 없이도 기기를 제어할 수 있기 때문입니다. 사용자가 의심스러운 링크를 클릭하거나, 파일을 다운로드하거나, 개인정보를 입력할 필요조차 없습니다. 이로 인해 VxWorks 기기는 웜 공격에 매우 취약해지며, 공격이 자동화되어 스스로 확산될 수 있습니다. 이터널블루(EternalBlue)의 워너크라이(WannaCry) 웜을 기억하시나요? URGENT/11은 그와 유사하면서도 더 파괴적인 잠재력을 지니고 있어 전 세계적인 골칫거리가 될 수 있습니다.

우리는 무엇을 할 수 있을까요?

글을 쓰는 현재, URGENT/11의 결과는 아직 알 수 없습니다. 언론을 통해 업계에 이 사실이 알려졌고, 윈드 리버는 영향을 받는 이들에게 지원을 제공하고 있습니다. 앞으로 몇 달 동안 공격자들이 이러한 알려진 결함을 실제로 악용할지 여부가 드러나겠지만, 지금 당장 할 수 있는 가장 확실한 해결책은 수많은 보안 권고를 따르고 관련 기기에 패치를 적용하는 것입니다.

장기적으로는 여전히 같은 과제가 남아 있습니다. 소프트웨어 보안에 있어 모두가 더 나은 노력을 기울여야 한다는 점입니다. URGENT/11 CVE는 일반적으로 매우 단순한 백도어이며, 수년 동안 발견되지 않았다는 사실은 업계 전반의 보안 관심과 인식이 매우 낮다는 것을 방증합니다.

모든 개발자는 자신의 역할을 다할 기회가 있으며, 생산 초기 단계부터 코드를 안전하게 보호하는 방법을 배울 수 있는 지원이 필요합니다. 앱 보안(AppSec)부터 경영진에 이르기까지 주변의 영향력 있는 팀들은 비즈니스 내 모든 소프트웨어 접점에서 긍정적인 보안 문화가 정착되도록 보장할 수 있습니다.

자신의 보안 인식 수준을 테스트해보고 싶으신가요? 저희의 게임화된 플랫폼을 통해 URGENT/11에서 발견된 것과 유사한 실제 코드 챌린지를 경험해보세요. 직접 확인하고 실력을 테스트해보세요:

• ipdhcpc의 DHCP Offer/ACK 파싱 중 힙 오버플로우 (CVE-2019-12257)
  메모리 손상 - 힙 오버플로우
• 잘못된 TCP 옵션을 통한 TCP 연결 DoS (CVE-2019-12258)
  불충분한 전송 계층 보호 - 민감 정보의 비보호 전송
• ipdhcpc DHCP 클라이언트의 IPv4 할당 논리적 결함 (CVE-2019-12264)
  비즈니스 로직 결함
• IGMP 파싱 중 NULL 역참조를 통한 DoS (CVE-2019-12259)
  메모리 손상 - Null 역참조
• IGMPv3 특정 멤버십 보고서를 통한 IGMP 정보 유출 (CVE-2019-12265)
  정보 노출 - 민감 데이터 노출