역대급 취약점 로그4셸...국정원 "국내 주요 기관 피해는 아직 없어"

[사진=게티이미지뱅크]

역대 최악의 보안 취약점이 전세계 인터넷 환경을 노리는 가운데, 국내 주요 국가기관과 공공기관을 대상으로 하는 피해 사례는 발견되지 않았다.

국가정보원은 최근 발견된 '아파치 로그4j 2' 취약점(일명 로그4셸)에 대해 11일 자정(00시)부터 실태를 파악했으며, 현재까지 국가·공공기관을 대상으로는 관련 해킹 피해 사례가 발견되지 않았고, 정보공유와 보안조치 등 선제적 조치를 취했다고 덧붙였다.

로그4j는 디버깅에 주로 사용되는 자바(JAVA) 기반 도구다. 애플리케이션이나 웹 서비스 등에 문제가 발생하면, 이 도구를 활용해 어디서 문제가 발생했는지 쉽고 빠르게 파악할 수 있다. 특히 서버 성능이나 속도에 영향이 적어 많은 기업과 기관이 인터넷 서버에서 이를 이용하고 있다.

이번 취약점을 악용하면 사이버공격자가 시스템의 모든 권한을 얻을 수 있다. 비밀번호 등 접근 권한 없이도 서버에 침투할 수 있으며, 데이터를 탈취하거나 랜섬웨어 등 악성코드를 설치해 실행하는 것이 가능하다.

관련기사

• KISA '핵 더 챌린지' 성료, 595명 참여해 취약점 689개 발굴
• ​국정원, 사이버위협 정보 접근성 높이고 민간 공유 확대

다수의 외신에 따르면 해당 취약점은 온라인 게임 마인크래프트에서 최초로 발견됐다. 마인크래프트는 자바를 기반으로 제작됐으며, 여기서 채팅창에 특정한 메시지를 입력하면 상대 컴퓨터에서 원격으로 프로그램을 실행할 수 있는 사실이 밝혀졌다.

로그4셸에는 'CVE 2021 44228'라는 표준 취약점 코드가 부여됐다. 해결 방안은 버전마다 조금씩 다르지만, 제조사 홈페이지를 통해 최신 버전인 2.15.0으로 업데이트 하는 것이 가장 빠른 해결책이다.

국정원은 "취약점으로 인한 피해 예방을 위해 취약점 보안 패치 적용 등 필요한 조치 사항을 국가사이버위협정보공유시스템(NCTI), 인터넷용정보공유시스템(KCTI), 사이버안보센터 홈페이지 등을 통해 안내했다. 향후 유관기관과 협력해 피해 차단에 만전을 기할 계획"이라고 덧붙였다.