2017. 4. 13. 20:16

아파치 스트럿츠(Apache Struts) 최신 취약점 즉시 패치 권장

중국 해커가 최근 한국을 대상으로 사이버전 선전포고를 하고 공세를 펼치는 가운데 아파치 스트럿츠(Apache Struts)2 최신 취약점을 이용한 자동화 공격 피해를 예방하기 위해 소프트웨어 업데이트와 최신 패치 적용이 요구된다.

12일 업계에 따르면 중국 해커들은 한국 웹사이트를 공격해 화면변조(디페이스)한 방법과 웹 서버 자동 공격 도구(툴)를 만들어 배포했다. 별개 해커 그룹이 모여 연합을 구성하고 리더, 참모, 기술그룹, 정보분석그룹, 침투조, 분산서비스거부(DDoS · 디도스) 공격조 등 조직을 꾸렸다.

중국 발 국내 민간 웹사이트 해킹 공격은 주로 아파치 스트럿츠2 관련 최신 취약점을 활용해 이뤄지는 것으로 알려졌다. 아파치 스트럿츠는 자바(JAVA) 웹 애플리케이션을 개발하기 위한 오픈소스 프레임워크로 국내 웹사이트에도 보편적으로 쓰인다. 2013년에도 취약점이 공개돼 한국을 비롯한 전 세계 각지에서 접속 장애와 정보유출 등 피해가 발생했다.

아파치 재단은 최신 취약점(CVE-2017-5638) 관련 보안 업데이트를 긴급 발표했다. 한국인터넷진흥원(KISA)에서도 아파치 스트럿츠 원격 코드 실행 취약점 업데이트를 권고했다. 취약한 버전을 사용 중인 서버 담당자는 해결방안에 따라 최신 버전으로 업데이트해야 한다.

영향을 받는 버전은 아파치 스트럿츠 2.3.5~2.3.31 버전과 2.5~2.5.10 버전이다. 취약점이 해결된 버전(2.3.32 혹은 2.5.10. 버전)으로 업데이트를 수행하고 콘텐트 타입에 엄격한 필터링을 적용해야 한다. 업로드기능 사용을 막기 위해 특정 파일(commons-fileupload-x.x.x.jar) 삭제도 필요하다.

아파치 스트럿츠 뿐만 아니라 게시판 에디터 등 홈페이지 개발도구 최신 업데이트와 데모 페이지 삭제도 요구된다. KISA에서 제공하는 홈페이지·서버 진단 가이드나 웹 서버구축 보안점검 안내서, 웹 취약점 점검 도구(휘슬, 캐슬) 등을 활용하면 자체 점검 가능하다.

중소기업에 제공하는 웹 취약점 점검 서비스도 도움이 된다. KISA 보호나라에서 신청 가능한 이 서비스는 SQL 인젝션이나 크로스 사이트 스크립팅 등 취약점을 원격 점검해 결과를 보고서로 전달해준다. 디도스 공격을 받은 중소기업은 `사이버대피소` 서비스를 무료 지원받는다. 사전 등록을 신청해두면 보호대상 웹사이트 DNS 정보를 변경해 바로 방어 서비스가 적용된다.