국산 오픈소스 취약점 점검 솔루션 개발사 아이오티큐브가 자사가 개발한 래브라도 OSS를 통해 치명적 보안 취약점 'Log4Shell' 취약점 점검 서비스를 무료 배포한다고 12일 밝혔다.
현존하는 대부분의 인터넷 서버에 심각한 영향을 미칠 수 있는 최고 위험도 수준의 'Log4Shell' 제로데이 취약점이 11일 발견돼 국내외 정부기관 및 산업계, 보안전문가 등이 발빠른 대응에 나서고 있지만 대응이 쉽지 않은 상황이다.
아이오티큐브는 래브라도 OSS를 통해 컴퓨터 역사상 최악의 취약점인 'Log4Shell'에 대한 취약점 점검 서비스를 긴급 무료 배포한다. 래브라도 OSS는 코드 레벨 분석 기반의 정확한 SBOM 도출 및 취약점 탐지 도구로 고려대 보안연구소(CSSA)와 공동 개발하여 서비스를 제공하고 있다.
Log4j은 아파치 재단에서 개발된 Java 로깅 프레임 워크로, 서버·프로그램 등에 로그를 남기기 위해 사용되는 오픈소스 기반의 로깅 라이브러리이다. Log4j에서 발견된 원격 코드 취약점(CVE-2021-44228)을 통해 목표 서버나 PC의 모든 권한을 취득할 수 있다. 비밀번호 입력 없이 목표 서버를 통해 정부 기관 및 기업의 데이터를 탈취하거나 악성 프로그램을 심어 다양한 보안사고를 유발할 수 있다. 해당 취약점은 마이크로소프트사의 마인크래프트를 통해 처음 발견됐지만, 보안 전문가들은 사실상 현존하는 모든 서버가 위험한 상태라고 주장하고 있다.
오픈소스를 사용하는 개발환경의 경우 하나의 라이브러리가 다른 여러 라이브러리를 가져다 사용하는 특성 때문에 현재 많은 정부 기관 및 기업이 취약한 Log4j 로깅 기능을 사용 중인지 판단이 어려운 경우가 많다. 하지만 래브라도의 코드레벨 분석을 통해 비전문가도 스캐너만 실행하여 보다 정확하고 쉽게 원격 코드 취약점(CVE-2021-44228)이 발견된 Log4Shell 취약점이 존재하는 프로젝트를 탐지하고, 유무에 따라 업데이트 안내를 통해 취약점을 해결할 수 있다.
Labrador OSS 긴급 무료 취약점 점검 서비스 도구는 아이오티큐브의 래브라도 사이트를 방문해 다운로드 및 취약점 점검이 가능하다.
최호기자 snoop@etnews.com
