2005년부터 연구되어 온 HTTP 요청 스머글링 공격 기법의 현대판
업그레이드 헤더 통해 백엔드에 접근하는 것 가능...무궁무진한 공격 잠재력

[보안뉴스 문가용 기자] 새로운 유형의 해킹 공격 기법이 발견됐다. 이를 발견해 보고서를 발표한 보안 업체 비숍 폭스(Bishop Fox)의 제이크 밀러(Jake Miller)는 “대단히 파괴적인 공격”이라고 묘사한다. 그리고 이 공격 기법에 ‘h2c 스머글링(h2c smuggling)’이라는 이름을 붙였다.


[이미지 = utoimage]

밀러의 설명에 의하면 ‘h2c 스머글링’은 “HTTP 요청을 ‘밀수’할 수 있게 해주는 공격”이다. “h2c는 HTTP/2가 HTTP/1.1 Upgrade 헤더를 통해 발동될 때 성립되는 프로토콜을 가리킵니다. 평문으로 통신을 한다는 특징을 가지고 있죠. 공격자가 h2c를 사용해 중간 서버(혹은 프록시 서버)로 요청을 보내면 서버 접근 제어 장치들을 피해갈 수 있게 됩니다. 여기까지 성공한 공격자는 내부 헤더들을 마음대로 조작하거나, 내부 네트워크의 엔드포인트들에 접근할 수 있습니다.”

비숍 폭스는 h2c 스머글링 공격의 위험성에 노출된 조직들이 꽤나 많은 수준이라고 주장했다. “저희의 고객사들만 보더라도 다양한 산업에서 이 공격의 위험성이 발견됐습니다. 조직의 크기는 전혀 상관이 없고요. 즉 보편적이면서 만연한 위험이라는 뜻입니다.” 실제 기술적인 관점에서 보더라도 h2c 스머글링 공격의 위험성은 모든 종류의 프록시 서버에 잠재되어 있다고 한다.

“HTTP 요청들을 점검하는 데에 있어 프록시 의존도가 높은 애플리케이션을 사용하고 있다면, 임의의 업그레이드(HTTP/1.1 Upgrade) 헤더들을 포워딩 하지 않도록 설정해야 합니다. 임의의 업그레이드 헤더가 포워딩 된다면, 공격자가 이를 ‘밀수’해 자신들의 것으로 만들 수 있습니다. 민감한 엔드포인트로의 접근을 막기 위해 프록시를 활용하거나 내부 헤더의 활용을 금지시키는 조직들도 현존 보안 장치와 설정을 있는 그대로 믿어서는 안 됩니다.”

밀러에 의하면 “h2c 스머글링 공격은 현재까지 한 번도 언급되거나 발견된 적 없는 기법”이라고 한다. 따라서 실제 해커들이 이미 활용하고 있는지 아닌지 확인할 방법이 아직은 없다는 것이다. 다만 HTTP 요청 스머글링(HTTP request smuggling)이라는 기법 자체는 예전부터 연구되어 왔다. h2c 스머글링은 HTTP 요청 스머글링의 최신 버전 중 하나라고 볼 수 있다.

전통적 개념의 HTTP 요청 스머글링은 2005년 처음 등장했다. HTTP 요청을 조작하는 공격 방법을 아우르는 용어로, 그 동안 메시지 처리 비동기화, 리버스 프록시의 남용, 프록시-프록시 구조의 남용 등의 기법이 발견되어 왔다. 여기에 h2c를 스머글링하는 방법이 추가된 것이다.

h2c 공격을 실행하려면 두 가지 전제 조건이 마련되어야 한다. 설정 오류와 h2c 업그레이드를 지원하는 백엔드다. 하지만 밀러에 의하면 상당수의 프록시 서비스가 디폴트 설정을 통해 h2c 헤더들을 전달하도록 만들어져 있다고 한다. 즉 디폴트 설정 그대로 놔두면 위험할 수 있다는 것이다.

비숍 폭스 측은 이 공격 기법을 보다 상세히 설명하기 위해 도구와 데모를 깃허브에 마련하기도 했다. 이는 여기(https://github.com/BishopFox/h2csmuggler)서 열람이 가능하다. “결국 h2c 스머글링은 현대의 웹 애플리케이션 아키텍처가 가진 구조적 취약점을 드러냅니다. 바로 보안을 에지 서버 접근 제어 장치들에 지나치게 맡기고 있다는 것이죠.”

하지만 공격을 실행시키는 게 쉬운 일은 아니라고 보안 업체 포트스위거(PortSwigger)의 제임스 케틀(James Kettle)은 설명한다. 그러면서 그는 이 기술에 대해 다음과 같이 설명한다. “h2c 스머글링은 결국 공격자가 백엔드 서버에 곧장 도달할 수 있게 해주는 것입니다. 즉 어떤 사용자나 어떤 웹사이트에도 도달할 수 있게 해주는 잠재력을 가지고 있다는 겁니다. 여태까지 아무도 이 공격 기법을 활용하지 않았다고 하더라도, 충분히 연구해 실행해봄직 합니다. 사이버 범죄자들은 늘 그래왔고요.”

3줄 요약
1. 2005년부터 연구되어 온 HTTP 요청 스머글링 공격 기법의 최신 버전 등장.
2. h2c를 통해 업그레이드 헤더를 조작함으로써 공격자가 백엔드에 침투할 수 있게 해주는 공격 기법.
3. 실행이 쉬운 건 아니지만, 백엔드에 도달할 수 있다는 장점이 너무 커 공격자들이 연구할 가능성 높음.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>