리눅스 시스템에 접근한 공격자의 취약점 높여주는 취약점
낮은 위험도의 취약점과 조합될 가능성 높아...철저한 취약점 관리 필요

[보안뉴스 문가용 기자] 레드햇 엔터프라이즈(Red Hat Enterprise)와 센트OS(CentOS) 등 다량의 리눅스 배포 버전들에서 새로운 취약점이 발견됐다. 이를 익스플로잇 할 경우 공격자들이 완벽한 접근 권한을 갖게 된다고 한다.


이 취약점은 CVE-2018-14634로 정수 오버플로우로 분류되며, 리눅스 내 메모리 관리를 담당하는 중요 커널 함수에서 발견됐다. 권한이 없는 공격자가 시스템에 물리적으로 접근할 수 있을 경우, 이 취약점을 통해 권한을 상승시킬 수 있다. 보안 업체 퀄리스(Qualys)는 이 취약점에 대한 개념증명까지도 발표했다. 퀄리스는 이 취약점에 ‘돌연변이원 천문학(Mutagen Astronomy)’이라는 이름을 붙였다.

다행히 패치도 같이 나왔다. 그리고 대부분의 리눅스 배포자들이 이 패치를 커널들에 적용했다고 한다. 다만 레드햇 엔터프라이즈, 센트OS, 데비안(Debian) 8은 아직 패치가 되지 않았다.

레드햇은 이에 대해 다음과 같은 발표를 했다. “이번에 발견된 취약점은 레드햇 엔터프라이즈 리눅스 6과 7버전, 레드햇 엔터프라이즈 MRG 2에 영향이 있습니다. 그러나 레드햇 리눅스 5에 설치된 커널 버전들은 안전합니다. 메모리가 32GB 이하인 시스템들도 위험에 노출될 가능성이 매우 낮습니다. 왜냐하면 주소 공간이 충분치 않기 때문입니다.”

돌연변이원 천문학이라는 이름의 이 취약점은 CVSS 기준으로 7.8점을 받았다. 그러나 레드햇은 의견이 조금 달라, ‘고위험군’에 속한다고 보고 있다. “이 취약점은 사용자의 어떠한 행위 없이도 익스플로잇이 가능하고, 공격의 난이도가 그리 높지 않은 편입니다.”

한편 퀄리스의 제품 관리 책임자인 지미 그래함(Jimmy Graham)은 이번 취약점의 약간의 기묘한 이름에 대해 다음과 같이 설명했다. “돌연변이원 천문학이라는 이름은, 너무 인자(argument)가 많다는 의미를 내포하고 있습니다. 바로 그 점이 취약점의 근본이기도 합니다.”

또한 이 취약점이 발견됨으로써 ‘다층의 방어’가 얼마나 중요한지 새삼 알려지게 되었다고 그래함은 설명한다. “예를 들어 공격자들이 웹 애플리케이션에 있는 원격 취약점 하나만을 공략한다고 하면, 낮은 권한의 접근권만을 가져가는 게 보통입니다. 그래서 공격자들은 위험도가 낮다고 판명된 오류들도 조합해서 공격하죠. 복합적인 접근법으로 원하는 걸 얻어내는 겁니다. 이번에 발견된 돌연변이원 천문학 취약점 역시 많은 인자를 가지고 있기 때문에 다른 취약점과 조합될 가능성이 높습니다.”

그렇기 때문에 취약점 및 패치 관리를 제대로 하는 것이 중요하다고 그는 강조한다. “치명적으로 위험한 취약점들만 관리하는 건, 요즘 효과를 보기 힘듭니다.”

패치를 개발한 건 리눅스 개발자인 키즈 쿡(Kees Cook)이라고 알려져 있다. 리눅스 배포자들 대부분은 이를 백포트 형태로 배포했다. 백포트 패치란 현 시점 기준으로 가장 최신 버전의 리눅스에 적용되지만, 그 이전 버전의 커널 혹은 LTS 버전의 커널에도 적용되도록 만들어진 패치를 말한다.

그래함은 “백포트 패치를 적용하는 건 대부분 리눅스 배포자들의 의지에 달려 있다”고 설명한다. “취약점이 그리 치명적이지 않다고 볼 경우, 그리고 패치를 적용함으로써 기존 커널들의 안정성에 영향을 준다고 생각될 경우, 백포트 패치를 적용하지 않을 수도 있습니다. 그러나 이번 경우 대부분의 배포자들이 적용을 했더군요.”

하지만 레드햇은 백포트 패치를 적용하는 대신 취약점에 대한 위험을 완화시키는 권고문을 발표했다.

3줄 요약
1. 대부분의 리눅스들에서 꽤나 위험한 취약점 발견됨. 이름은 돌연변이원 천문학.
2. 일종의 정수 오버플로우 취약점으로, 접근에 성공한 공격자들의 권한을 높여줌.
3. 보다 덜 위험한 취약점들과 조합될 가능성 높음. 그러므로 위험한 취약점만 패치해서는 안 됨.

[국제부 문가용 기자(globoan@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>