아파치 스트럿츠 취약점: 최신 CVE 및 수정 사항

주요 내용

• 새로운 중요 취약점(CVE-2024-53677)은 Apache의 공식 패치를 받지 않는 버전인 Apache Struts 2.5.33에 영향을 미칩니다.
• 2.5.33과 같은 EOL 버전을 계속 실행하면 애플리케이션이 공격자에게 노출됩니다.
• TuxCare의 엔드리스 수명 주기 지원(ELS)은 EOL Struts 2.5.33에 대한 지속적인 패치를 제공하므로 비용이 많이 드는 강제 마이그레이션 없이도 지속적으로 보호할 수 있습니다.

Apache Struts는 기업에서 대규모 Java 웹 애플리케이션 개발을 위해 일반적으로 사용하는 오픈 소스 웹 앱 프레임워크입니다. 금융, 정부, 의료, 통신 등 잘 알려진 분야에서 미션 크리티컬 서비스를 지원한 검증된 실적뿐만 아니라 유연성과 MVC(모델-뷰-컨트롤러) 아키텍처 덕분에 오랫동안 인기를 누려왔습니다.

그러나 이러한 인기는 공격자들에게도 똑같이 매력적입니다. 중요한 보안 취약점이 발견될 때마다 신속하게 패치를 적용하지 않는 기업은 속수무책으로 당할 수밖에 없습니다. 현재 많은 기업이 2023년 12월에 지원 종료(EOL) 가 예정된 Apache Struts 2.5.33을 여전히 사용하고 있기 때문에 그 위험은 더욱 커지고 있습니다.

이 글에서는 최근 Apache Struts 취약점을 살펴보고, 2.5.33과 같이 지원되지 않는 버전을 실행할 때의 위험성을 살펴보고, 구형 애플리케이션을 사이버 이벤트로부터 보호하고 규정 프레임워크를 준수하는 방식으로 취약점 관리 프로세스에 접근하는 방법에 대해 알아봅니다.

최근 Apache Struts 취약점 및 수정 사항

최근 두 가지 중요한 Struts 취약점이 발견되어 강력한 사이버 보안 패치 전략이 시급히 필요함을 강조하고 있습니다.

50164

CVSS 점수가 9.8로 매우 높은 이 결함은 많은 Apache Struts 버전에 영향을 미칩니다. 이 취약점은 공격자가 파일 업로드 매개 변수를 부적절하게 조작하여 개발자가 의도하지 않은 위치에 악성 파일을 삽입하고 원격 코드 실행을 추가로 트리거할 수 있는 경로 통과 취약점입니다. 이 취약점은 릴리스 2.5.33 및 6.3.0.2의 보안 업데이트 제공을 통해 수정되었습니다.

53677

프레임워크의 파일 업로드 로직에 있는 또 다른 심각한 결함은 자체적으로 공포를 자아내는 CVSS 점수입니다. 인증되지 않은 원격 공격자가 시스템 경로 탐색을 수행하여 악성 파일을 업로드할 수 있습니다. 2.5.33을 포함하여 이 CVE의 영향을 받는 취약한 버전이 많지만, 이 결함은 버전 6.4.0의 보안 업데이트에서 수정되었습니다.

CVE 한눈에 보기

에퀴팩스 침해: Struts 보안에 대한 교훈

아파치 스트럿츠라고 하면 많은 사람들이 역사상 가장 악명 높은 사이버 공격 중 하나인 2017년 Equifax 데이터 유출 사건을 떠올립니다. 이 유출 사고는 Equifax가 Apache Struts의 중요한 취약점을 패치하지 않아서 발생했습니다. 이 사건은 중요한 취약점을 패치하지 않았을 때 조직의 보안 태세에 어떤 일이 일어날 수 있는지를 보여주는 사례 연구입니다.

근본 원인은 Struts의 파일 업로드 기능의 RCE(원격 코드 실행) 취약점인 CVE-2017-5638이었습니다. Apache 소프트웨어 재단은 2017년 3월에 명확한 보안 권고와 함께 수정 사항을 발표했습니다. 하지만 Equifax는 패치를 적용하지 않아 악의적인 공격자의 온라인 공격에 노출될 수 있는 여지를 남겨두었습니다.

출처: NVD (CVE-2017-5638)

그 결과는 엄청났습니다. 해커들은 이 사이버 보안 취약점을 악용하여 주민등록번호, 생년월일, 주소 등 1억 4,700만 명이 넘는 사람들의 개인 데이터에 액세스했습니다. Equifax는 결국 수백만 달러의 합의금, 법적 비용, 복구 비용에 직면하게 되었으며, 평판에 회복할 수 없는 손상을 입었습니다.

보안 패치를 무시하는 것은 감수하기에는 너무 큰 위험입니다. 이는 공급업체가 패치를 제공하더라도 적시에 배포할 책임은 사용자에게 있다는 것을 보여줍니다. 매일 새로운 취약점이 발견되는 사이버 보안 환경에서는 소프트웨어의 수명이 다해 새로운 패치가 제공되지 않을 때 위험은 더욱 커집니다.

아파치 스트럿츠 2.5.33(EOL) 실행의 위험성

에퀴팩스 침해와 최근의 중대한 취약점은 패치의 중요성을 보여주었지만, Apache Struts 2.5.33 사용자의 당면한 우려는 현재 진행 중이며 향후 위험입니다. 2024년 4월 현재 Apache Struts 2.5.x 브랜치는 공식적으로 수명이 종료되어 2.5.33 버전은 더 이상 지원되지 않는 프레임워크가 되었습니다.

이러한 EOL 상태는 위험한 보안 및 비즈니스 문제를 야기합니다:

공식 패치 없음

공식적인 지원이 없는 Apache Struts 2.5.33에서 발견된 새로운 취약점은 Apache 소프트웨어 재단에서 발표한 패치 없이 그대로 남아 있습니다. 최근 원격 코드 실행 결함과 같은 중요한 취약점이 나타나면 애플리케이션은 퍼스트 파티 수정 없이 계속 노출되어 무기한 취약한 상태로 남게 됩니다.

공격자의 레거시 시스템 표적 공격

사이버 범죄자들은 레거시 EOL 소프트웨어가 수익성이 낮다는 것을 알고 있습니다. 그들은 많은 조직이 수정 사항을 적용하지 않을 것이라고 확신하면서 구형 프레임워크에서 알려진 결함을 적극적으로 검색합니다. 그 결과 패치가 적용되지 않은 애플리케이션은 사이버 위협의 주요 표적이 됩니다.

Apache CXF의 지원 종료(EOL) 위험과 구형 웹 서비스 프레임워크가 API를 유사한 위협에 노출시키는 방식에 대한 자세한 내용은 당사의 상세 가이드를 확인해 보세요.

규정 준수 및 규제 위험

잘 알려진 규정(예: PCI DSS, HIPAA 또는 SOC 2)의 영향을 받는 분야의 조직은 지원되지 않는 소프트웨어를 실행할 경우 심각한 결과에 직면하게 됩니다. 이러한 표준에 따라 조직은 안전한 최신 시스템과 잘 문서화된 보안 정책을 유지해야 합니다. 패치되지 않은 알려진 취약점은 감사 실패, 막대한 벌금, 평판 손상으로 이어질 수 있습니다.

보안 취약성의 숨겨진 비용

안전하지 않은 애플리케이션을 운영하면 잠재적인 취약성으로 인한 보안 침해 위험보다 더 많은 비용이 발생합니다. 개발팀은 종종 긴급 수정 사항을 처리하기 위해 혁신 프로젝트에서 이탈하여 기술 부채를 증가시키고 향후 마이그레이션을 더 복잡하고 비싸게 만듭니다. 즉, 비용이 많이 들고 혼란을 야기하는 마이그레이션을 수행할 수 없는 팀에게는 검증된 대체 솔루션이 더 이상 선택이 아닌 필수입니다.

Apache Struts 2.5.33에 대한 TuxCare의 끝없는 수명 주기 지원

즉각적이고 비용이 많이 들며 중단을 초래하는 마이그레이션을 감당할 수 없는 조직에게는 EOL 소프트웨어의 보안 위험과 이로 인해 발생할 수 있는 잠재적 취약성이 부담스럽게 느껴질 수 있습니다. TuxCare의 Apache Struts용 ELS(Endless Lifecycle Support)는 애플리케이션의 보안과 규정 준수를 유지할 수 있는 안전하고 안정적인 방법을 제공합니다.

TuxCare의 ELS는 공식 EOL 날짜 이후에도 지속적인 보안 업데이트를 제공함으로써 Apache Struts 2.5.33 배포의 수명을 연장하는 엔터프라이즈급 서비스입니다. TuxCare는 새로운 취약점을 모니터링하고 패치를 개발하여 시스템에 직접 제공합니다.

이 접근 방식의 주요 이점은 다음과 같습니다:

지속적인 보안

TuxCare는 Apache Struts 2.5.33 프레임워크에서 발생하는 새로운 CVE에 대한 신속한 SLA 지원 보안 패치를 제공합니다. 이를 통해 필요한 기간 동안 애플리케이션을 최신 위협으로부터 보호할 수 있습니다.

호환성 유지

각 보안 업데이트는 기존 코드 및 종속성과 완벽하게 작동하도록 광범위한 테스트를 거칩니다. 따라서 최신 버전으로의 복잡하고 강제적인 마이그레이션으로 인해 종종 발생하는 불안정하거나 손상된 애플리케이션의 위험을 방지할 수 있습니다.

비용이 많이 들고 중단되는 마이그레이션 방지

ELS는 긴급하고 시간이 많이 소요되는 마이그레이션의 부담을 덜어줍니다. 그 동안 중요한 인프라에 보안 공백을 남기지 않고 팀에서 자체적으로 향후 업그레이드를 계획하면서 개발에 집중할 수 있습니다.

TuxCare로 아파치 스트럿 보안 유지

Apache Struts 2.5. 33과 같이 지원이 종료된 프레임워크를 계속 사용하는 것은 계산된 위험을 감수하는 것과 같습니다. 이는 패치되지 않은 취약점에 노출되고, 규제 준수 요건을 충족하지 못하며, 심각한 보안 침해 사고의 위험에 직면하게 만듭니다. 올바른 접근 방식을 취한다면 보안과 운영 안정성 사이에서 선택을 강요받을 필요가 없습니다.

TuxCare의 Apache Struts에 대한 무제한 수명 주기 지원은 안전하고 안정적이며 비용 효율적인 솔루션을 제공합니다. 애플리케이션에 필요한 필수 보안 패치를 제공하므로 전체 마이그레이션의 혼란스럽고 종종 실현 불가능한 프로세스 없이 무결성을 유지할 수 있습니다.

레거시 프레임워크가 조직의 다음 주요 보안 책임이 되지 않도록 하세요. 보안을 관리하고 지속적인 전문가 지원을 통해 안심하고 사용할 수 있습니다.

요약

기사 이름

아파치 스트럿츠 취약점: 최신 CVE 및 수정 사항

설명

CVE-2024-53677과 같은 최신 Apache Struts 취약점에 대한 최신 정보를 확인하세요. 효과적인 완화 전략으로 시스템을 탐지, 패치 및 보호하는 방법을 알아보세요.

작성자

로한 티말시나

게시자 이름

TuxCare

게시자 로고