자바 보안 취약점 발견「어떤 컴퓨터도 열외 없다」

이젠 안심할수있는 시스템이 없군요.. 인터넷을 쓰는 모든 시스템이 다 보안에 취약할수밖에 없다는건데.. 자바는 인터넷에 사용하는 기본적인 기반기술이라서 어떤 시스템도 피해갈수없죠… 이론… 요즘 zdnet기사를 자주 보게되는데… 보안에 대한 안 좋은 소식만 많이 들려오는것 같네요.. ㅠㅠ


썬 마이크로시스템즈의 자바 가동 플러그인에서 보안상의 취약점이 있다는 사실이 밝혀졌다.

여러 브라우저와 운영체제에 자바를 실행시키는 데 사용되는 이 플러그인에 결함이 발견됨에 따라 MS 윈도우와 리눅스 PC에 바이러스를 배포하는데 악용될 가능성이 제기되고 있다.

핀란드의 보안 전문가 조우코 피노넨이 지난 6월 발견한 이 결함은 지난달 썬에 의해 패치됐지만 세부 사항은 아직 공개되지 않고 있다. 보안정보 제공업체인 시큐니아(Secunia) 이 결함을 ‘매우 치명적인’ 위협으로 등급을 매긴다는 공지사항을 발표했다.

자바 플러그인은 애플릿이라고 불리는 작은 웹 프로그램들이 PC에서 안전하게 구동될 수 있도록 지원하는 역할을 수행한다. 그러나 보안상의 결함이 발견됨에 따라 보호장치를 뛰어넘어 악성 웹사이트에 접속하도록 하는 것이 가능해졌다.

피노넨은 CNET 뉴스닷컴과의 이메일 인터뷰에서 “이 결함을 사용하면 웹페이지를 보는 것과 별도로 사용자의 상호 작용이 없이도 공격자의 코드가 실행될 수 있다. 이런 경우는 대부분 ‘치명적인’ 보안 등급으로 분류된다”라고 지적했다.

뒤이어 피노넨은 “더욱 심각한 것은 여러 운영체제와 브라우저에서 똑같은 형태로 악용할 수 있다는 점이다”라고 덧붙였다.

이와 같은 종류의 취약점은 예를 들면 윈도우나 리눅스를 탑재하거나 MS 인터넷 익스플로러와 파이어폭스 등 주요 브라우저를 사용하는 시스템을 공격하는데 활용될 수 있다. 즉 주요 컴퓨터 시스템 대다수가 공격에 노출돼 있다는 의미다.

크래커들은 이 결함을 활용해 공격 대상이 평소에 해왔던 것과 동일한 작업을 얼마든지 수행할 수 있다. 예를 들면 파일 탐색이나 수정, 구동, 또는 대상 시스템에 프로그램을 업로드하거나 데이터를 외부로 유출하는 것 등이 모두 가능해진다고 피노넨은 지난 23일 발표한 권고문에서 지적했다.

현재 보편적으로 사용되고 있는 브라우저들은 엄청난 수의 보안 문제와 씨름하고 있지만 이 결함은 썬 자바 기술의 보안 측면에 있어 상당히 드문 경우다.

자바는 기본적으로 인터넷에서 다운로드한 프로그램을 여러 운영체제에서 사용자의 PC에 해를 끼치지 않고 구동할 수 있도록 설계됐으며 자바 애플릿을 시스템의 다른 부분과 차단하는 일명 ‘모래상자(Sandbox)’는 매우 잘 구동돼왔다.

그러나 이번 보안 결함은 원래 외부 프로그램으로는 절대 구동될 수 없는 자바의 기능들을 웹 코드인 자바스크립트로 실행할 수 있도록 허용한다.

지난 주 열린 썬의 솔라리스 10 운영체제 발표 자리에서 썬 CEO인 조나단 슈왈츠는 지금까지 자바가 어떤 바이러스로도 공격받은 적이 없다고 당당하게 주장한 바 있다. 하지만 이번에 발생한 보안상의 허점은 바이러스가 자바 플러그인을 활용해 PC를 공격할 가능성을 확인해주고 있다.

지난달 휴대폰 전용 자바 플러그인에서 발생한 결함 또한 사용자들이 유용한 애플리케이션으로 위장한 악성 프로그램을 구동할 경우 휴대폰 소프트웨어가 공격받을 수도 있다는 점을 보여주고 있다.

MS 인터넷 익스플로러에서 최근 발견된 아이프레임(iFrame) 취약점 사례와 마찬가지로 자바의 보안 결함 또한 악의적인 웹사이트가 사용자 PC에 특정 프로그램을 다운로드해 실행시킬 수 있다.

피노넨은 “바이러스나 다른 악의적인 소프트웨어를 확산하는데 이 결함은 매우 쉽게 사용될 수 있다”라고 이메일에서 주장했다. 그러나 그는 “이메일에 이 취약점을 내장시키긴 어려울 것이다. 이메일에 포함되는 자바 애플릿은 보통 자동으로 구동되지 않기 때문이다. 대신 악의적인 웹페이지에 대한 링크를 포함시킬 수는 있다”라고 설명했다.

썬은 크래커들이 이번 보안 결함을 어떻게 이용할 지에 대해서는 추측하거나 하진 않겠지만 모든 사용자들에게 패치 사실을 알리는 데 최선을 다하겠다고 밝혔다. 썬 대변인은 지난 23일 “이번 상황을 매우 심각하게 보고 있다. 패치를 알리는 데 별도로 자원을 할당하고 있다”라고 밝혔다.

한편 썬, 시큐니아, 피노넨 등은 이 문제가 애플 컴퓨터의 맥 OS X 운영체제에 영향을 미칠 수 있는지 여부에 대해서는 아직 밝히지 않고 있다. 맥 OS X는 리눅스처럼 핵심 코드가 유닉스와 유사한 형태다.

썬 대변인은 맥과 관련한 사항은 현재 검토 중이라고 전했다. 애플 컴퓨터에서도 논평 요청에 응하지 않았다. @

답글 남기기

이메일은 공개되지 않습니다. 필수 입력창은 * 로 표시되어 있습니다.