리눅스의 XZ Utils 백도어는 더 넓은 공급망 보안 문제를 시사하며, 이를 방지하기 위해서는 커뮤니티의 열정 그 이상의 노력이 필요합니다.

교묘한 소프트웨어 공급망 침해 사고가 발견되면서 사이버 보안 업계에 다시 한번 비상이 걸렸습니다. 주요 리눅스 배포판에 포함된 XZ Utils 데이터 압축 라이브러리에 영향을 미치는 이 취약점은 CVE-2024-3094로 기록되었으며, 한때 신뢰받던 자원봉사 유지보수 담당자가 의도적으로 삽입한 백도어임이 밝혀졌습니다. 성공적으로 악용될 경우 원격 코드 실행(RCE)이 가능하며, 확립된 소프트웨어 빌드 프로세스에 심각한 피해를 줄 수 있는 고위험 취약점입니다.

다행히 다른 유지보수 담당자가 악성 코드가 안정적인 리눅스 릴리스에 포함되기 전에 이 위협을 발견했지만, Fedora Rawhide의 일부로 XZ Utils 버전 5.6.0 및 5.6.1을 사용하기 시작한 사용자들에게는 여전히 문제가 됩니다. 이에 따라 조직은 긴급하게 패치를 적용해야 합니다. 만약 제때 발견되지 않았다면, 이번 사건은 SolarWinds 사태를 능가할 정도로 기록상 가장 파괴적인 공급망 공격 중 하나가 되었을 것입니다.

중요 시스템 유지보수를 커뮤니티 자원봉사자에게 의존하는 현실은 널리 알려져 있지만, 이번 사건처럼 큰 영향력을 미치는 문제가 발생하기 전까지는 거의 논의되지 않습니다. 이들의 헌신적인 노력은 오픈소스 소프트웨어 유지보수에 필수적이지만, 이번 사건은 개발자 수준에서의 보안 기술과 인식 강화, 그리고 소프트웨어 저장소에 대한 접근 제어 강화가 얼마나 중요한지 일깨워줍니다.

XZ Utils 백도어란 무엇이며, 어떻게 완화할 수 있을까요?

3월 29일, Red Hat은 긴급 보안 경고를 발표하여 Fedora Linux 40 및 Fedora Rawhide 사용자들이 사용하는 최신 "XZ" 압축 도구 및 라이브러리에 제3자의 무단 접근을 용이하게 하려는 목적의 악성 코드가 포함되어 있음을 알렸습니다. 이 악성 코드가 어떻게 삽입되었는지는 향후 집중적인 연구 대상이 되겠지만, 이는 "Jia Tan"이라는 가명을 사용하는 위협 행위자가 수년에 걸쳐 인내심을 가지고 수행한 정교한 사회 공학적 공격의 결과입니다. 이 인물은 2년 넘게 XZ Utils 프로젝트와 커뮤니티에 합법적인 기여를 하며 다른 유지보수 담당자들의 신뢰를 쌓았고, 여러 가짜 계정을 동원해 프로젝트 소유자인 Lasse Collin에 대한 신뢰를 떨어뜨린 뒤 결국 "신뢰받는 유지보수 담당자" 지위를 획득했습니다.

‍

‍

이 이례적인 시나리오는 고도로 숙련된 기술자조차 덜 정교한 상대를 대상으로 하는 전술에 희생될 수 있음을 보여주는 대표적인 사례로, 역할 기반의 정밀한 보안 인식 교육이 필요함을 시사합니다. Microsoft 소프트웨어 엔지니어이자 PostgreSQL 유지보수 담당자인 Andres Freund의 호기심과 빠른 판단 덕분에 백도어가 발견되고 버전이 롤백되어, 최근 기억 중 가장 파괴적일 수 있었던 공급망 공격을 막을 수 있었습니다.

이 백도어는 공식적으로 NIST 레지스트리에서 최고 심각도 취약점으로 추적되고 있습니다. 초기에는 SSH 인증 우회 취약점으로 알려졌으나, 추가 조사 결과 Fedora Rawhide, Fedora 41, Kali Linux, openSUSE MicroOS, openSUSE Tumbleweed 및 일부 Debian 버전을 포함한 취약한 리눅스 시스템에서 인증되지 않은 원격 코드 실행을 가능하게 한다는 사실이 밝혀졌습니다.

Jia Tan은 악성 패키지를 난독화하기 위해 상당한 노력을 기울인 것으로 보이며, 이 패키지는 빌드 과정에서 스스로를 구성하도록 트리거되면 systemd를 통해 SSHd의 인증을 방해합니다. Red Hat이 상세히 설명했듯이, 특정 상황에서 이러한 간섭은 공격자가 SSHd 인증을 무력화하고 전체 시스템에 대한 원격 무단 접근 권한을 얻을 수 있게 합니다.

‍

Microsoft를 비롯한 여러 기관은 포괄적인 지침을 발표하여 시스템에서 익스플로잇 사례를 스캔하고 영향을 완화하는 방법을 안내하고 있으며, CISA는 영향을 받는 개발자와 사용자가 즉시 XZ Utils를 XZ Utils 5.4.6 Stable과 같은 안전한 버전으로 다운그레이드할 것을 권고합니다.

이러한 유형의 공격을 방지하는 것은 매우 어렵습니다. 특히 소프트웨어에서 오픈소스 구성 요소를 사용할 때는 공급망 보안에 대한 보장과 투명성이 거의 없기 때문입니다. 우리는 이미 소프트웨어 공급망의 우발적인 결함과 싸워왔지만, 이제는 오픈소스 보안을 침해하기 위해 악의적으로 심어진 보안 버그까지 포함하는 위험에 직면했습니다.

대부분의 개발자는 강력한 보안 인식, 건전한 보안 지식, 그리고 약간의 편집증적인 태도를 갖추지 않는 한 이러한 성격의 공격을 막을 수 없습니다. 이는 거의 위협 행위자의 사고방식을 요구하는 수준입니다. 그러나 가장 중요한 고려 사항은 항상 내부적으로 제어되는(즉, 오픈소스가 아닌) 소스 코드 저장소에 집중되어야 합니다. 이러한 저장소는 검증된 관련 보안 기술을 갖춘 사람만 접근할 수 있어야 합니다. AppSec 전문가들은 보안 기술을 갖춘 개발자만 최종 마스터 브랜치에 변경 사항을 커밋할 수 있도록 하는 브랜치 수준의 보안 제어와 같은 설정을 고려할 수 있습니다.는 제어되는(즉, 오픈소스가 아닌) 소스 코드 저장소에 집중되어야 합니다. 이러한 저장소는 검증된 관련 보안 기술을 갖춘 사람만 접근할 수 있어야 합니다. AppSec 전문가들은 보안 기술을 갖춘 개발자만 최종 마스터 브랜치에 변경 사항을 커밋할 수 있도록 하는 브랜치 수준의 보안 제어와 같은 설정을 고려할 수 있습니다.

자원봉사 유지보수 담당자는 영웅이지만, 안전한 소프트웨어를 유지하려면 모두의 노력이 필요합니다

소프트웨어 엔지니어링 분야 밖의 사람들에게는 열정적인 자원봉사자 커뮤니티가 자신의 시간을 들여 중요한 시스템을 힘들게 유지한다는 개념이 이해하기 어려울 수 있지만, 이것이 바로 오픈소스 개발의 본질이며, 공급망을 보호하는 보안 전문가들에게는 여전히 중요한 위험 영역으로 남아 있습니다.

오픈소스 소프트웨어는 사실상 모든 기업의 디지털 생태계에서 필수적인 부분이며, (대부분 선의로 활동하는) 신뢰받는 유지보수 담당자들은 기술적 진보와 무결성을 위해 헌신하는 진정한 영웅입니다. 하지만 이들에게만 모든 책임을 맡기는 것은 불합리합니다. DevSecOps가 중심이 된 오늘날, 보안은 공동의 책임이며 모든 개발자는 업무 중 마주할 수 있는 보안 문제를 해결할 수 있는 지식과 적절한 도구를 갖추어야 합니다. 보안 인식과 실무 기술은 소프트웨어 개발 과정에서 타협할 수 없는 요소이며, 기업 차원에서 변화를 이끌어내는 것은 보안 리더들의 몫입니다.
‍

‍Secure Code Warrior의 심층적인 강좌를 통해 오늘 바로 조직 내에 탄탄한 보안 문화를 구축하세요.