'로그4j' 치명적 보안 허점…인터넷 서버 대부분 위험...국정원 "공공기관 피해는 없어"

 "컴퓨터 역사상 최악의 취약점이 발견됐다"라는 외신의 보도가 나오자 국가정보원은 12월11일 "선제적 조치를 취했다"라며 큰 피해가 발견되지 않았다고 밝혔습니다.

AP통신은 이날 거의 모든 인터넷 서버에서 사용되는 소프트웨어에 치명적인 보안 취약점이 발견됐다고 보도했습니다. 통신에 따르면 이 소프트웨어는 게임 및 클라우드 서버를 운영하는 기업과 웹사이트 운영 기업, 정부 기관까지 광범위하게 사용되고 있습니다.

12월 10일(미국시간) 더버지, 아스테크니카 등 다수 외신은 아파치 재단이 개발한 자바 기반 오픈소스 로깅 라이브러리 '로그4j'에서 원격코드실행(RCE) 취약점이 발견됐다고 보도했습니다.

로깅은 웹애플리케이션의 활동 내역을 보존해 오류 발생 시 이를 검토할 수 있게 하는 프로세스로, 거의 모든 시스템에서 적용돼 있습니다. 자바가 광범위한 분야에서 사용되고 있어 취약점의 영향을 받는 시스템이 상당할 것으로 추정되고 있습니다.

이번 취약점은 로그4j 2.0 베타 9 버전부터 2.14.1 버전까지 유효하며 애플리케이션이 특정 문자열을 로그에 기록하기만 하면 취약점이 악용될 수 있습니다. 로그에 사용자가 주고 받은 메시지, 시스템 오류 세부 정보 등 광범위한 내용이 저장되기 때문에 컴퓨터나 서버에 대한 광범위한 해킹 및 조작이 가능한 것으로 알려졌습니다.

AP통신은 이 소프트웨어가 애플, 아마존, 트위터 등 초대형 IT 기업들도 로그4j를 이용하고 있는 것으로 파악됐다고  전했습니다. 이 같은 상황 때문에 오픈소스 프로젝트를 지원·관리하는 아파치소프트웨어재단이 이번 상황에 대한 보안 위협 수준을 1∼10단계 중 최고 등급인 '10단계'라고 평가했다고 통신은 전했습니다.

글로벌 보안 회사 루나섹에 따르면 마인크래프트 외 게임 유통 플랫폼 '스팀', 애플 '아이클라우드' 등이 이를 악용한 공격에 취약한 것으로 확인됐습니다.

취약점 이름은 '로그4쉘(Log4shell)' 또는 '로그잼(LogJam)'으로 명명됐습니다. 공통보안취약점공개항목(CVE) 번호는 CVE-2021-44228이다.

아파치 재단은 취약점을 해결한 2.15.0 버전을 출시한 상태로 취약점 악용이 쉬운 만큼, 신속히 보안 패치를 적용하지 않을 경우 해킹 위협에 노출될 가능성이 큽니다.

보안 회사 그레이노이즈는 이번 취약점이 유효한 시스템을 탐색하는 시도를 다수 감지했다고 밝혔습니다.

이와 관련해 국정원은 "이날 자정부터 실태 파악, 정보 공유, 보안패치 안내 등 선제적 조치를 취했다"라며 "긴급 점검 결과 국가·공공기관 대상 관련 해킹 피해 사례는 없는 것으로 확인됐다"라고 밝혔습니다.

또 "피해 예방을 위해 취약점 보안패치 적용 등 보안 대책을 국가사이버위협정보공유시스템(NCTI), 인터넷정보공유시스템(KCTI)과 사이버안보센터 홈페이지를 통해 안내했다"라며 "향후 유관기관과 협력해 피해 차단에 만전을 기할 것"이라고 덧붙였습니다.