베어 메탈 서버에서 극대화 되는 위험성...클라우드 사용자가 위협받는다
IBM 소프트레이어에서 실험...다른 유사 클라우드 서비스에도 있을 것으로 보여

[보안뉴스 문가용 기자] 소위 베어 메탈(bare-metal)이라고 불리는 클라우드 서버들의 펌웨어에서 취약점들이 발견됐다. 이 취약점을 악용할 경우 공격자들이 멀웨어와 백도어를 설치할 수 있게 되는데, 새로운 클라우드 고객이 생길 때마다 이런 악성 장치들을 통해 접근할 수 있게 해준다고 한다.


취약점을 발견한 건 보안 업체 에클립시움(Eclypsium)의 전문가들로, “이번 발견이 클라우드 인프라 보안의 중대하고 근본적인 결함을 드러냈다”고 믿고 있다. “저희가 찾아낸 건 클라우드 서버들에 탑재된 베이스보드 관리 제어기(baseboard management controllers, BMC) 때문에 클라우드 고객들이 위험에 처할 수 있다는 것입니다.” 연구는 IBM 소프트레이어(IBM Softlayer) 기술을 기반으로 했지만, 다른 유사 서비스들에서도 비슷한 문제가 있을 가능성이 높다고 한다.

에클립시움의 창립자이자 CEO인 유리 불리진(Yuriy Bulygin)은 “이건 클라우드와 IT 산업 전체를 뒤흔들 수 있는 문제”라고 발표했다.

클라우드로 대표되는 ‘서비스형 인프라(infrastructure as a service, IaaS)’ 환경에서 고객들은 클라우드 업체가 가지고 있는 물리 서버의 자원을 공유하는 게 일반적이다. 그런데 일부 고객들은 지나치게 중요한 데이터를 클라우드에 보관해야 하거나, 고성능 장비가 필요한 애플리케이션을 운영할 때, 다른 고객들과 자원을 공유하는 걸 꺼려한다.

그런 경우 클라우드 업체는 ‘베어 메탈’ 클라우드 서비스를 제공한다. 고객들이 자신들만을 위한 물리 서버에 대한 접근 권한을 갖게 되는 것을 말하는데, 서버 장비를 통째로 가져가는 것이기 때문에 다른 고객에 영향을 주는 것을 염려하지 않아도 된다. 또한 추가 하드웨어를 구매하지 않아도 된다. 계약이 종료되면 고객이 온전히 자기 것으로 사용했던 서버 장비는 다시 클라우드 업체의 것이 되고, 클라우드 업체는 장비를 깨끗하게 청소하고 다른 고객들에게 대여한다.

베어 메탈 클라우드에는 나름의 장점이 존재한다. 일단 성능에서 뛰어난 면모를 보인다. 또한 다른 업체의 눈치를 보지 않아도 되니 사용이 매우 자유롭고, 고객이 자신들만의 소프트웨어를 설치할 수 있게 된다. 하지만 공격자가 하드웨어에 직접 접근할 수 있다면 굉장히 위험한 상황에 처하게 된다.

에클립시움은 “베어 메탈 서버를 다른 목적으로 사용한다고 했을 때, 이전 고객의 데이터가 깨끗하게 지워지지 않을 수 있다”며 “일부 데이터가 BMC에 남아있을 수 있는데, 이 취약점에 클라우드본(Cloudborne)이라는 이름을 붙였다”고 설명한다. “BMC란 베어 메탈 서버를 관리하는 데 사용하는 권한 관련 요소입니다. 일종의 지능형 플랫폼 관리 인터페이스(Intelligence Platform Management Interface, IPMI)인데, 관리자가 이를 사용해 장비에 직접 접근하지 않고도 서버에 명령을 보내거나, OS를 수정 및 재설치 할 수 있습니다.”

그렇기에 이 BMC 내부에 취약점이 있다면, 그것만으로도 꽤나 심각한 문제가 될 가능성이 높다. 이번에 발견된 클라우드본 취약점의 경우 “클라우드 고객들에게 백도어를 같이 제공하는 것과 같은 효과가 발생한다”고 한다. “클라우드 인프라의 근본적인 문제라고 볼 수 있습니다. 그리고 베어 메탈 클라우드 서버에서 이 문제가 극대화되는 것이죠. 예를 들어 악의를 가진 고객이 베어 메탈 서버를 계약하고 어느 정도 사용하다가 해지하고서도 그 베어 메탈 인스턴스에 접근하는 게 가능합니다. 그런 후 펌웨어를 조작하거나, 해당 장비를 사용할 다음 고객의 데이터를 훔쳐올 수 있게 됩니다. 물론 다른 종류의 위협을 가하는 것도 가능합니다.”

에클립시움은 이 취약점을 분석하기 위해 IBM의 소프트레이어 클라우드 서버 플랫폼을 사용했다. IBM의 소프트레이어는 현재 전 세계에 35개의 데이터센터를 운영하고 있는데, 대부분 베어 메탈 인스턴스를 제공하고 있다.

에클립시움은 베어 메탈 서버에 대한 접근권을 구매했다. 그리고 최신 BMC 펌웨어가 설치되어 있다는 걸 확인했다. 그런 후 약간의 변화를 주었다. 그리고 추가적인 IPMI 사용자를 생성하고 관리자 권한을 주었다. 다음으로는 IBM에 서버를 반납했다. IBM은 서버를 청소하고 다른 고객에게 대여하는 과정을 시작했다.

그러나 나중에 에클립시움은 해당 서버에 접근하는 데 성공했다. 생성했던 새로운 계정은 사라졌지만, 펌웨어에 미리 남겨두었던 변화는 그대로 있었던 것이다. “결국 다시 청소하는 과정에서 BMC 펌웨어는 그대로 유지된다는 뜻입니다. 그렇기 때문에 여기에 미리 악성 코드를 심어두면 다음 사용자의 데이터를 훔치는 게 가능해지는 겁니다.”

또한 에클립시움은 BMC 로그와 루트 비밀번호도 그대로 유지되어 있다는 걸 발견할 수 있었다. “로그가 지워지지 않았으므로 다음 고객이 이전 서버 사용자가 했던 행위들을 열람할 수 있습니다. 또한 루트 비밀번호도 저장하고 있다가 다른 공격에 활용할 수도 있습니다.”

에클립시움의 엔지니어링 부문 부회장인 존 루카이즈(John Loucaides)는 “서버를 되돌려 받고 청소하는 과정에서 펌웨어까지 생각하는 업체는 드물다”고 설명한다. “IBM 정도 되는 회사도 신경을 안 쓸 정도니, 사실 다른 업체들도 비슷할 거라고 예상합니다.”

에클립시움은 이러한 실험 결과를 IBM에 알렸다. IBM은 자사 블로그를 통해 문제를 해결했다고 밝혔고, 현재까지 이 취약점이 실제 공격에 활용된 사례는 없는 것으로 보인다고 주장했다. 또한 “미래 고객들에게 클라이언트 서버가 배정되기 전에 BMC 펌웨어들까지도 전부 최신화하고 있다”고 설명했다.

하지만 IBM은 해당 취약점의 심각도가 낮은 편이라고 판단했다. 반면 에클립시움은 CVSS 3.0 점수를 기준으로 9.3점이라는 높은 점수를 주었다. 이는 최상위급 위험도를 가진 취약점이라고 판단한 것이다. 루카이즈는 “낮은 위험도의 취약점일 수가 없다”라고 주장했다.

3줄 요약
1. 서버 장비를 통째로 빌려주는 클라우드 서비스를 베어 메탈 서버라고 함.
2. 베어 메탈 서비스를 이용하고 다시 클라우드 업체에 반납하는 과정에서 펌웨어에 이전 기록들과 흔적이 남게 됨.
3. 이를 ‘클라우드본’ 취약점이라고 하는데, 미래 클라우드 고객들의 정보를 훔쳐가거나 유출시키는 등의 위협을 가할 수 있게 함.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>