어도비(Adobe)가 자사의 웹 애플리케이션 서버인 콜드퓨전(ColdFusion)에서 발견된 심각한 취약점(CVE-2024-53961)을 해결하기 위해 긴급 보안 업데이트를 발표했다. 이번 취약점은 경로 탐색(Path Traversal) 취약점으로, 공격자가 취약한 서버에서 임의의 파일을 읽을 수 있게 한다.
어도비는 이번 취약점에 대해 "CVE-2024-53961은 임의의 파일 시스템 읽기를 유발할 수 있는 알려진 개념 증명(Proof-of-Concept)이 존재한다"고 밝혔다. 또한, 이 취약점에 대해 "Priority 1" 등급을 부여하며, 이는 해당 제품 버전과 플랫폼에서 실제로 악용될 위험이 높음을 의미한다고 경고했다.
취약한 버전은 콜드퓨전 2023과 2021로, 어도비는 각각 콜드퓨전 2023 업데이트 12와 콜드퓨전 2021 업데이트 18을 통해 이를 수정했다. 어도비는 관리자가 이번 긴급 보안 패치를 가능한 한 빨리, 예를 들어 72시간 이내에 설치하고, 콜드퓨전 2023 및 콜드퓨전 2021 잠금 가이드에 명시된 보안 구성 설정을 적용할 것을 권장했다.
경로 탐색 취약점은 공격자가 애플리케이션이 제한한 디렉토리 밖의 파일이나 디렉토리에 접근할 수 있게 하며, 이는 민감한 정보의 노출이나 시스템 데이터의 조작으로 이어질 수 있다. 미국 사이버 보안 및 인프라 보안국(CISA)은 2024년 5월, 소프트웨어 기업들에게 제품 출시 전에 이러한 취약점을 제거할 것을 촉구하며, 이러한 취약점이 여전히 널리 존재한다고 경고했다.
어도비는 이번 취약점이 실제로 악용되었는지에 대해서는 밝히지 않았지만, 고객들에게 Wddx 역직렬화 공격을 차단하기 위한 최신 시리얼 필터 문서를 검토할 것을 권장했다. 또한, 콜드퓨전 서버를 사용하는 조직은 서버의 비정상적인 활동을 모니터링하고, 액세스 로그를 검토하며, 백업이 최신 상태인지 확인하는 것이 중요하다.
전문가들은 이번 취약점이 심각하다고 강조하며, 신속한 패치 적용과 서버 구성의 재검토를 권고하고 있다. 또한, 웹 애플리케이션 방화벽(WAF)의 사용, 정기적인 침투 테스트 및 보안 평가를 통해 잠재적인 취약점을 사전에 발견하고 대응하는 것이 중요하다고 조언했다.
★정보보안 대표 미디어 데일리시큐 /Dailysecu, Korea's leading security media!★
