PHP 이어 ‘Node.js’서도… 치명적 보안 결함 드러나

압축파일 하나로 서버 원격 장악 넷플릭스-아마존웹에 일부 사용 전 세계 웹사이트의 70%가 쓰는 프로그래밍 언어 ‘PHP’에 이어 주요 웹 서비스 구동 도구인 ‘노드제이에스(Node.js)’에서도 치명적인 보안 결함이 드러났다. 해커가 비밀번호 없이 조작된 압축파일 하나만 보내도 서버를 원격 장악할 수 있는 구멍이다. 보안기업 티오리는 26일 노드제이에스에서 발생할 수 있는 결함 ‘노드투셸(Node2Shell)’이 서버 제어 창(셸)을 통째로 내줄 수 있다며 대응 가이드를 냈다. 올 2월 오픈AI가 신고해 8개월 만인 21일(현지 시간) 수정판이 나왔고, 최근 심각성이 업계에 알려졌다. 미 국립취약점데이터베이스(NVD)가 평가한 위험도는 ‘치명적(9.2점)’ 수준이다. 노드제이에스는 웹 브라우저용 ‘자바스크립트(웹페이지에 기능을 더하는 프로그래밍 언어)’를 서버에서도 실행하는 프로그램이다. 넷플릭스·아마존 등 웹사이트 6.5%에서 로그인·검색 요청 처리 같은 일부 서버 기능에 쓰이는 것으로 알려졌다. 보안업계에서는 공격 코드까지 유포된 만큼 대응을 서둘러야 한다는 지적이 나오고 있다. 수정판 배포 5시간 만에 개발자 코드 공유 사이트 ‘깃허브’에 분석 글이 올라오고, 이튿날 미 보안업체 임퍼바가 원격 제어 가능성을 입증하는 등 공격 수법이 빠르게 공개되고 있다. 임준호 티오리 AI·사이버 리서치팀 총괄은 “취약점이 알려지고 나서 서버 공격에 쓸 수 있는 프로그램이 하루도 안 돼 만들어져 인터넷에 공개됐다”며 “방어하는 서버 관리자들은 서비스 개발에 어떤 도구를 쓰는지, 그 버전은 무엇인지 실시간으로 파악하는 게 기본”이라고 말했다. 김재형 기자 monami@donga.com© dongA.com All rights reserved. 무단 전재, 재배포 및 AI학습 이용 금지 좋아요 0개 슬퍼요 0개 화나요 0개 댓글 0 지금 뜨는 뉴스