공격자들이 패치되지 않은 GeoServer SQL 인젝션 제로데이를 악용하다

발생한 일: GeoServer 제로데이

보안 연구원들이 지리공간 데이터를 공유하고 처리하는 데 널리 사용되는 오픈소스 플랫폼인 GeoServer의 인증되지 않은 SQL 인젝션 취약점을 겨냥한 실제 악용 시도를 확인했습니다. CSO Online에 따르면 이 결함은 현재 사용 가능한 패치가 없으며, 특정 서버 구성에서는 공격자가 SQL 인젝션에서 원격 코드 실행까지 권한을 확대해 데이터베이스 조회나 조작에 그치지 않고 기반 시스템에서 임의의 명령을 실행할 수 있게 할 수 있습니다.

이 취약점이 특히 우려되는 이유는 인증이 필요 없다는 점입니다. 공격자는 익스플로잇을 시도하기 위해 대상 시스템의 유효한 자격 증명이나 기존 계정이 필요하지 않습니다. 인터넷을 통해 접근 가능한 노출된 취약 GeoServer 인스턴스를 찾기만 하면 됩니다. SQL 인젝션 결함은 서버가 백엔드 데이터베이스에 보내는 쿼리를 조작하므로, 공격에 성공하면 데이터를 노출·변경·삭제할 수 있으며, 이번 사례에서는 서버 자체를 장악하는 발판으로 작용할 가능성도 있습니다.

GeoServer를 사용하는 곳과 데이터에 중요한 이유

GeoServer는 널리 알려진 이름은 아니지만, 이 소프트웨어가 뒷받침하는 인프라는 놀라울 만큼 많은 일상 서비스에 영향을 미칩니다. GeoServer는 지리공간 데이터를 게시하고 공유하도록 설계된 서버 측 플랫폼으로, 디지털 지도, 위치 기반 서비스, 환경 모니터링 대시보드, 유틸리티 네트워크 관리, 정부 지도 포털 등을 뒷받침하는 정보를 다룹니다. 표준화된 웹 프로토콜을 통해 지도 레이어, 위성 이미지, 필지 경계, 인프라 데이터를 표시하거나 교환해야 하는 조직은 흔히 GeoServer나 유사한 지리공간 서버에 의존합니다.

이러한 역할 때문에 GeoServer는 정부 기관, 지방자치단체, 유틸리티 회사, 환경·연구 기관, 위치 인식 애플리케이션을 구축하는 민간 기업에서 널리 배포됩니다. 즉, 취약한 인스턴스를 통과하는 데이터에는 인프라 지도, 토지 기록, 환경 센서 데이터, 경우에 따라 특정 개인이나 시설과 연결된 정보 등 민감한 지리공간 데이터가 포함될 수 있습니다.

개인정보 보호에 민감한 사용자에게 직접적인 노출 위험은 개인의 브라우징 습관보다는 공공 기관과 서비스 제공자가 사용자를 대신해 보유한 위치 및 인프라 데이터의 무결성과 기밀성에 더 가깝습니다. 정부 지도 포털이나 유틸리티의 지리공간 대시보드가 패치되지 않은 인터넷 공개 GeoServer 인스턴스를 운영 중이라면, 이 결함을 악용한 공격자가 그 뒤에 있는 데이터에 접근하거나 조작할 수 있으며, 최악의 경우 원격 코드 실행을 통해 조직 네트워크 내부로 더 깊이 침투할 수도 있습니다.

증가하는 패턴: 엔터프라이즈 소프트웨어의 제로데이

GeoServer 상황은 방어자가 대응하기 전에 널리 배포된 엔터프라이즈 및 오픈소스 소프트웨어의 패치되지 않은 인증 불필요 결함을 공격자들이 경쟁적으로 악용하는 더 넓은 추세에 들어맞습니다. 올해만 해도 러시아 국가 후원 해커들이 Zimbra 제로데이를 악용해 정부 및 국방 관련 조직이 사용하는 이메일 시스템을 겨냥했고, Metabase 제로데이가 Framework와 Tally 사용자를 공격하는 데 악용됐으며, 갈취 그룹 ShinyHunters는 해당 Metabase 취약점과 연관된 해킹을 주장하며 10만 곳 이상의 조직이 위험에 처했다고 밝혔습니다. ShinyHunters는 또한 전미보험감독관협회(National Association of Insurance Commissioners)에 영향을 준 Oracle 제로데이 관련 침해 사건의 배후를 주장하기도 했습니다.

이러한 사건들은 GeoServer와 직접적인 관련은 없지만, 함께 보면 일관된 패턴을 보여줍니다. 공격자들은 비즈니스 인텔리전스 도구, 이메일 서버, 지리공간 데이터 플랫폼 등 조직이 합법적인 비즈니스 이유로 인터넷에 공개하는 플랫폼의 인증 불필요 결함을 점점 더 노리고 있습니다. 인증이 필요 없는 취약점은 자격 증명을 먼저 훔치거나 추측할 필요를 없애주기 때문에 공격자에게 특히 매력적입니다.

이것이 사용자에게 의미하는 바

일반 독자라면 GeoServer를 직접 접할 가능성은 낮습니다. GeoServer는 지리공간 데이터를 관리하는 조직 뒤에서 작동하기 때문입니다. 하지만 지역 정부, 유틸리티 제공업체 또는 이용 중인 서비스가 공공 지도 도구나 대시보드를 구동하기 위해 GeoServer에 의존한다면, 이번 취약점은 사용자의 위치 관련 데이터를 처리하는 인프라의 보안 수준이 이를 유지하는 조직의 보안 수준에 달려 있음을 상기시켜 줍니다. 특히 인터넷 공개 시스템의 패치 지연은 민감한 데이터가 노출되거나 변경될 수 있는 시간을 늘립니다.

GeoServer를 운영하는 IT 및 보안 팀에게 지금 최우선 과제는 인스턴스가 공용 인터넷에 노출되어 있는지 확인하는 것입니다. 공식 패치가 없는 동안에는 인터넷 노출이 위험을 크게 높이기 때문입니다. 접근 제한, 비정상적인 데이터베이스 쿼리 패턴 모니터링, 공급업체 지침이나 완화 조치가 발표되는 즉시 적용하는 것을 시급하게 처리해야 합니다.

실질적인 조치 사항

• GeoServer 인스턴스를 관리한다면 공용 인터넷에서 접근 가능한지 감사하고, 가능한 경우 즉시 접근을 제한하세요.
• 공식 패치 출시와 공급업체 권고를 주시하고, 정기 업데이트 주기를 기다리지 말고 제공되는 즉시 적용하세요.
• SQL 인젝션 시도를 나타낼 수 있는 비정상적인 쿼리 동작이 있는지 데이터베이스 및 애플리케이션 로그를 모니터링하세요.
• 최종 사용자로서 위치 및 지도 데이터를 포함한 디지털 발자국의 점점 더 많은 부분이 내가 통제할 수 없는 타사 인프라를 통과한다는 점을 인식하세요. 해당 데이터를 처리하는 조직이 이와 같은 취약점에 어떻게 대응하는지 계속 파악하는 것은 합리적이고 실용적인 디지털 인식의 한 형태입니다.