PHP 이어 Node.js에서도…조작된 데이터 받기만 해도 ‘서버 장악’ 작성일 10-26 35 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="8dK47yJ63h"> <figure class="figure_frm origin_fig" contents-hash="fd7ba1fe6d4db57d1e8e8d735b1c763b94fb1bcc2dd4aa01d7eac505df3a2b2c" dmcf-pid="6J98zWiPpC" dmcf-ptype="figure"> <p class="link_figure"><img alt="노드제이에스에서 인증 없이 서버를 장악할 수 있는 취약점 ‘노드투셸’이 나왔다. 22·24·26 계열 이용자는 보안 패치 적용이 필요하다. 사진=게티이미지코리아" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/26/donga/20261026102141579heoh.jpg" data-org-width="1600" dmcf-mid="pFNEn9lwut" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/26/donga/20261026102141579heoh.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 노드제이에스에서 인증 없이 서버를 장악할 수 있는 취약점 ‘노드투셸’이 나왔다. 22·24·26 계열 이용자는 보안 패치 적용이 필요하다. 사진=게티이미지코리아 </figcaption> </figure> <div contents-hash="c0b82bb9499ac843666e38f861868ff4e4b55ecec59bd18953ec938e85c6d268" dmcf-pid="PFlWsi3GzI" dmcf-ptype="general"> 웹 생태계를 강타한 ‘PHP 쇼크’에 이어 노드제이에스(Node.js)에서도 인증 없이 서버를 장악할 수 있는 취약점이 나왔다. </div> <p contents-hash="aa09557b3f9aad8832395fd2595fd2131336708b7cfe377f64553db0af360957" dmcf-pid="Q3SYOn0HzO" dmcf-ptype="general">26일 티오리(대표 박세준)는 노드제이에스 취약점 ‘노드투셸(Node2Shell)’을 재현·검증하고 대응 가이드를 공개했다.</p> <p contents-hash="f0aeca9f9c3466101fb1dbebd3e32f502ef203a97a756501554231605919e105" dmcf-pid="x0vGILpXFs" dmcf-ptype="general">노드제이에스는 자바스크립트로 작성한 프로그램을 서버 등에서 실행하도록 해주는 소프트웨어다. PHP처럼 이용자 요청을 서버에서 처리하는 역할을 맡는다.</p> <p contents-hash="6228d17fd4869ec35086bc00be640e219f1e24739f401145d759dbd037bc7ab4" dmcf-pid="yNPeV1jJzm" dmcf-ptype="general">문제는 개발자가 압축 해제 기능을 직접 쓰지 않아도 공격에 노출될 수 있다는 점이다. </p> <p contents-hash="0c262ed217a2e6811e53f4ae930b2f898f28bd782036b0d8e4c9151c804b597a" dmcf-pid="WjQdftAi7r" dmcf-ptype="general">본래 노드제이에스의 기본 서버는 압축을 스스로 풀지 않지만, 웹 서버 제작 도구가 이를 자동으로 풀어주면 조작된 데이터가 그대로 압축 해제 단계까지 들어온다.</p> <p contents-hash="1e4721d7929429fda8c4ac30d42c2c7fc7a63c00a00b1e80c165281eeb33f311" dmcf-pid="YAxJ4Fcnzw" dmcf-ptype="general">서버가 외부에서 데이터를 받아올 때도 공격당할 수 있다. 공격자의 서버가 보낸 압축 응답을 푸는 과정에서 메모리가 손상될 수 있다. 이 경우 서버 앞단에서 요청을 걸러내는 것만으로는 막을 수 없다.</p> <p contents-hash="ceefe9ff4d358fa2fd19f95824a46e31de72c31beaaef5b0bf56e18c8ee0e471" dmcf-pid="GcMi83kLUD" dmcf-ptype="general"><strong>● 코드 결함 없어도 기반 기술 버전 따라 공격 노출<br></strong><br>노드투셸은 노드제이에스에 탑재되거나 연결된 브로틀리(Brotli) 압축 해제 모듈의 결함에서 비롯됐다. 브로틀리는 웹에서 주고받는 데이터 크기를 줄이는 압축 방식이다. 노드투셸은 압축을 푸는 과정에서 정해진 메모리 범위 밖에 데이터를 처리하다 프로그램 메모리가 손상되는 결함이다.</p> <p contents-hash="a78a297fc4e836e0860127d9bc8d0fc89ac17c6f80535d5a28f09f54f727cff2" dmcf-pid="HkRn60Eo7E" dmcf-ptype="general">노드제이에스 공식 기준 위험도는 ‘높음’이다. 공격자는 로그인 같은 인증 절차 없이 조작한 데이터를 보내는 것만으로 원격으로 서버를 멈추게 하거나 장악할 수 있다. 개발자가 짠 코드에 문제가 없어도 취약점이 있는 노드제이에스 버전을 쓰면 공격 대상이 될 수 있다.</p> <p contents-hash="cbb6882229673b82a65c2858b7625535d55ba8c99113dcee3d9a70036f053d71" dmcf-pid="XEeLPpDgFk" dmcf-ptype="general">티오리는 앞서 PHP 자체 결함인 ‘PHP투셸(PHP2Shell)’도 재현해 대응법을 내놨다. 노드투셸도 PHP투셸처럼 웹사이트 구현 방식과 관계없이 영향을 받는다. 브로틀리 데이터가 압축 해제까지 닿는 경로만 있으면 된다.</p> <p contents-hash="4a4569400193c97b0eca98a4f48efa6aee8297f828691f0a0c209923789751b8" dmcf-pid="ZDdoQUwa7c" dmcf-ptype="general"><strong>● 업데이트가 우선…패치 어려우면 임시 조치라도</strong></p> <p contents-hash="e268ae5a38c28225e473003039a2a7806b4f811f711f7b4848f2b09a597f2179" dmcf-pid="5wJgxurN3A" dmcf-ptype="general">티오리는 노출 경로로 △‘익스프레스 5’에서 이용자가 보낸 데이터를 읽어 들이는 기능(body-parser) △노드제이에스가 외부 데이터를 받아올 때 쓰는 요청 기능 ‘fetch()’ △통신 라이브러리(axios·got·node-fetch 등)를 꼽았다.</p> <p contents-hash="f5a25cda4e6cdb735b0be77ca20fac0e9f91d5eb91a86e8e678f58167616487e" dmcf-pid="1CakiKhDuj" dmcf-ptype="general">이번 취약점의 영향을 받는 버전은 노드제이에스 22·24·26 계열이다. 기술 지원이 종료된 20·23·25 계열은 지원 중인 버전으로 신속히 전환해야 한다. 노드제이에스 보안팀은 22.23.4, 24.22.1, 26.12.1 보안 패치 버전을 배포하고 이 버전 이상으로 업데이트하라고 권고했다.</p> <p contents-hash="03c18de873d4cee2635c24bfd39d2d864a0e1791e6a6aa9a237daaf4863533af" dmcf-pid="thNEn9lwFN" dmcf-ptype="general">티오리는 공식 지원이 끝난 20 이하 버전 사용자는 운영체제(OS) 배포판이나 장기지원(LTS) 업체의 보안 업데이트 여부를 확인해야 한다고 설명했다.</p> <p contents-hash="2fa3e5b80d8008b0fddf3942961bcb4e64d58759c5215d6931df5285ca672412" dmcf-pid="FljDL2SrUa" dmcf-ptype="general">또 티오리는 패치가 어려운 기업을 위해 리버스 프록시(엔진엑스·Nginx 등)와 애플리케이션 단에서 공격을 막는 임시 완화 방안도 내놨다.</p> <p contents-hash="777a66fd443b24cc60204652701fc7b490736b1e9b10e33bb04f9dac28ed1da0" dmcf-pid="3SAwoVvmpg" dmcf-ptype="general">임준오 티오리 AI·사이버 리서치팀 총괄은 “공격자가 노릴 수 있는 경로를 가장 빠르게 진단할 수 있도록 무상 점검 서비스를 열었으니, 임시 조치와 함께 최신 패치 적용을 서둘러 달라”고 말했다.</p> <figure class="figure_frm origin_fig" contents-hash="949c1d4916dd51fee31834ff02f6e8c902cee56c70bf3c9e6b54a427f183870e" dmcf-pid="0vcrgfTs3o" dmcf-ptype="figure"> <p class="link_figure"><img alt="티오리 제공" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/26/donga/20261026102143765yyfd.png" data-org-width="1200" dmcf-mid="4A4xKXgR3l" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/26/donga/20261026102143765yyfd.png" width="658"></p> <figcaption class="txt_caption default_figure"> 티오리 제공 </figcaption> </figure> <div contents-hash="533e81f3020dd3e62b91486cff6145dd2fa79c6c0a15f5e12768e75648185255" dmcf-pid="pTkma4yO0L" dmcf-ptype="general"> 김영호 기자 rladudgh2349@donga.com </div> </section> </div> <p class="" data-translation="true">Copyright © 동아일보. All rights reserved. 무단 전재, 재배포 및 AI학습 이용 금지</p> 관련자료 이전 EQT 품에 안긴 더존비즈온, 첫 위기 대응…"정보보호에 최선 다할 것" 10-26 다음 정부, 더존비즈온 해킹 ‘중대 사고’ 판단… 민관합동조사단 가동 10-26 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
