래브라도 OSS를 통해 치명적 보안 취약점 ‘Log4Shell’ 로깅 기능 탐지 및 업데이트 안내 무료 제공

[보안뉴스 원병철 기자] 국산 오픈소스 취약점 점검 솔루션 개발사 아이오티큐브가 자사가 개발한 래브라도 OSS를 통해 치명적 보안 취약점 ‘Log4Shell’ 취약점 점검 서비스를 무료 배포한다고 12일 밝혔다.


▲Labrador OSS ‘Log4Shell’ 무료 점검 도구[자료=아이오티큐브]

현존하는 대부분의 인터넷 서버에 심각한 영향을 미칠 수 있는 최고 위험도 수준의 ‘Log4Shell’ 제로데이 취약점이 11일 발견돼 국내외 정부기관 및 산업계, 보안전문가 등이 발 빠른 대응에 나서고 있지만 대응이 쉽지 않은 상황이다.

‘Log4Shell’은 아파치 재단에서 개발된 Java 로깅 프레임 워크로, 서버·프로그램 등에 로그를 남기기 위해 사용되는 오픈소스 기반의 로깅 라이브러리다. 문제는 ‘Log4Shell’에서 발견된 원격 코드 취약점(CVE-2021-44228)을 통해 목표 서버나 PC의 모든 권한을 취득할 수 있으며, 이는 비밀번호 입력 없이 목표 서버를 통해 정부 기관 및 기업의 데이터를 탈취하거나 악성 프로그램을 심어 다양한 보안사고를 유발할 수 있다. 해당 취약점은 마이크로소프트의 마인크래프트를 통해 처음 발견됐지만, 보안 전문가들은 사실상 현존하는 모든 서버가 위험한 상태라고 주장하고 있다.

현사태의 심각성을 파악한 아이오티큐브는 래브라도 OSS를 통해 컴퓨터 역사상 최악의 취약점인 ‘Log4Shell’에 대한 취약점 점검 서비스를 긴급 무료 배포한다. 래브라도 OSS는 코드 레벨 분석 기반의 정확한 SBOM 도출 및 취약점 탐지 도구로 고려대 보안연구소(CSSA)와 공동 개발해 서비스를 제공하고 있다.

오픈소스를 사용하는 개발환경의 경우 하나의 라이브러리가 다른 여러 라이브러리를 가져다 사용하는 특성 때문에 현재 많은 정부 기관 및 기업이 취약한 ‘Log4Shell’ 로깅 기능을 사용 중인지 판단이 어려운 경우가 많다. 하지만 래브라도의 코드레벨 분석을 통해 비전문가도 스캐너만 실행해 보다 정확하고 쉽게 원격코드 취약점(CVE-2021-44228)이 발견된 ‘Log4Shell’ 취약점이 존재하는 프로젝트를 탐지하고, 유무에 따라 업데이트 안내를 통해 취약점을 해결할 수 있다.
[원병철 기자(boanone@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>