표준 이메일 프로토콜인 SMTP를 오픈소스로 구현한 인기 높은 프로젝트

익스플로잇 성공했을 때 임의 셸 코드 실행 가능해...시급한 패치 적용 필수 

[보안뉴스 문가용 기자] 보안 업체 퀄리스(Qualys)의 보안 전문가들이 오픈SMTPD(OpenSMTPD)에서 잠재적으로 위험할 수 있는 취약점을 발견했다. 취약점 익스플로잇에 성공할 경우 원격 명령 실행이 가능하다고 한다.

[이미지 = iclickart]

오픈SMTPD는 오픈BSD 프로젝트(OpenBSD Project)에서 만든 오픈소스로, SMTP를 구현한 것이다. SMTP는 전자우편 전송 프로토콜이다. 오픈SMTPD의 휴대용 버전은 다양한 BSD 및 리눅스 버전만이 아니라 애플의 맥OS X에서도 실행이 된다. 높은 호환성을 보여 꽤나 각광받고 있기도 하다.

하지만 퀄리스에 의하면 오픈SMTPD에는 치명적인 취약점이 하나 존재한다고 한다. “이 취약점을 통해 공격자들은 루트 권한을 가지고 임의의 셸 명령을 실행할 수 있게 됩니다. 오픈SMTPD가 디폴트로 설정되어 있는 시스템에 물리적으로 접근했을 때는 물론 원격에서도 익스플로잇이 가능합니다.”

이 취약점에는 CVE-2020-7247이라는 관리 번호가 붙었다. 정확히는 smtp_mailaddr()이라는 함수에 위치해 있는 것으로 알려졌다. 이 함수는 메일 전송자와 수신자의 이메일 주소의 무결성을 확인하는 기능을 가지고 있다. 특수하게 조작된 이메일을 통해 취약점을 발동시키는 게 가능하다.

문제는 이 취약점이 2018년 5월부터 ‘익스플로잇 가능한 상태’였다는 것이라고 퀄리스는 강조했다. 현재 퀄리스는 기술 세부 사항을 전부 공개한 상태이며, 해커 뉴스(Hacker News)라는 곳에서 이 취약점에 대한 논의가 일어나고 있다. 특히 근원적인 문제가 무엇인지에 대한 이야기가 계속해서 공유되고 있는 상황이다.

이에 오픈SMTPD를 관리하는 조직에서는 위 취약점에 대한 패치를 긴급히 발표했다. 그러면서 사용자들에게 “최대한 빨리 적용할 것”을 촉구하고 있는 상황이다. 또한 문제의 근원에 대한 내용을 빠른 시일 안에 파악하여 공개하겠다고도 약속했다.

오픈SMTPD에서 퀄리스가 취약점을 찾아 발표한 것은 이번이 처음이 아니다. 2015년 퀄리스는 오픈SMTPD에 대한 보안 감사를 실시했고, 취약점과 오류를 여러 개 발견한 바 있다. 당시 해당 취약점을 익스플로잇 할 경우, 디도스, 정보 탈취, 권한 상승, 임의 코드 실행 공격 등이 가능한 것으로 나타났다.

패치는 여기(https://www.mail-archive.com/misc@opensmtpd.org/msg04850.html)서 열람 및 다운로드가 가능하다.

3. 패치 적용 시급함.​ 

[국제부 문가용 기자(globoan@boannews.com)] 

[출처 : 보안뉴스(www.boannews.com), https://www.boannews.com/media/view.asp?idx=86057&page=1&mkind=1&kind=1​]​