.jpg)
.jpg)
사용자가 비밀번호를 강력하게 설정하도록 해주는 젬의 수상한 버전
원래 개발자가 소유권 잃고도 몰라…이번 사건 통해 다시 회복했지만
[보안뉴스 문가용 기자] 한 개발자가 루비(Ruby)라는 프로그래밍 언어 생태계에서 사용되는 젬(gem)에서 악성 코드를 발견했다. 원격의 공격자가 임의의 코드를 실행하게 해주는 악성 코드였다. 발견자는 튜트 코스타(Tute Costa)라는 인물이며, 문제가 발견된 젬은 strong_password라고 한다.
코스타는 한 레일즈(Rails) 애플리케이션에서 사용되고 있는 젬들을 업데이트하고 있었다. 그러던 중 strong_password의 0.0.7 버전이 루비의 각종 젬들을 호스팅 하는 RubyGems.org를 통해 배포되고 있다는 것을 알아챘다. 이상했던 건, 다른 젬들이 보통 그러하듯 깃허브(GitHub)를 통해서는 배포되지 않고 있었다는 점이다.
“strong_password는 루비 언어에서 사용되는 젬입니다. 개발자들은 이 젬을 가져다가 자신이 개발한 애플리케이션에 집어넣음으로써, 사용자들이 강력한 비밀번호를 설정할 수 있도록 유도할 수 있게 됩니다. 이 젬은 꽤나 인기가 많고, 현재까지 25만 번 이상 다운로드 됐습니다. 0.0.6 버전의 경우 3만 8천번 정도의 다운로드 수를 기록하고 있습니다.”
약간은 다른 방식으로 배포되고 있던 strong_password 0.0.7이 수상했던 코스타는 분석을 시작했고, 그 결과 파일의 맨 마지막에 기존 버전에 없던 코드가 몇 줄 달려있음을 발견할 수 있었다고 한다.
“최대 한 시간까지 무작위의 시간 동안 대기하는 기능, strong_password 젬을 사용하는 애플리케이션이 실행되고 있는지 확인하는 기능, 실행되고 있을 경우 페이스트빈(Pastebin)의 게시글 하나에 저장되어 있는 코드를 가져와 실행시키는 기능을 가지고 있었습니다.”
문제의 페이스트빈 게시글은 편집이 가능한 상태였다. 즉 공격자가 마음만 먹으면 다양한 공격을 실시할 수 있었다는 뜻이다. 여기까지 알아낸 코스타는 strong_password의 개발자인 브라이언 맥마누스(Brian McManus)에 연락을 취했다. 사안을 검토한 맥마누스는 “누군가 젬을 하이재킹했고, 소유권을 뺐겼다”고 알렸다.
이 소식을 접한 Rubygems.org는 악성 strong_password 젬을 사이트에서 삭제하고, 관련 계정을 차단했다. 그리고 다시 맥마누스에게 strong_password의 소유권을 돌려주었다.
루비 생태계의 보안 서비스 제공업체인 루비섹(Rubysec)은 “strong_password 0.0.7 사태에 CVE-2019-13354라는 번호가 부여되었다”고 알리며 “이미 이 악성 버전을 설치한 사용자들이라면 0.0.6으로 다운그레이드 할 것”을 권고했다. Rubygems.org에 의하면 다운로드 회수는 537번이라고 한다.
이 사건은 현재 루비 커뮤니티에서 큰 화제다. 일부는 “루비 생태계 전체에 영향을 줄 수 있는 취약점을 공격자가 알아낸 것 같다”며 우려를 표현하고 있다. 그도 그럴 것이 본래 소유권을 가진 젬 개발자가, 자신의 소유권이 사라진 사실을 모르고 있었기 때문이다. 하지만 일부는 “해당 개발자의 계정만이 침해당했을 것”이라고 보고 있다.
또한 앞으로 다른 인기 젬을 통한 침해 시도가 꾸준히 일어날 수 있다는 점도 거론되고 있다. 인기가 높은 젬의 경우 수천만 번 이상 다운로드가 되기도 한다. 일각에서는 보다 인기가 적은 젬을 사용해 표적 공격을 조용히 실시하는 것도 가능할 수 있다는 시나리오를 제시했다.
루비 젬을 통한 악성 공격 시도가 발견된 건 처음이 아니다. 지난 3월 누군가 bootstrap-sass라는 젬을 악의적으로 조작해 커뮤니티 전체로 푸시한 적이 있다. 공격자가 임의의 명령어를 실행할 수 있도록 해주는 내용이 담겨 있었다. 당시 2900만 명이 이 젬을 다운로드 받았었다.
3줄 요약
1. 루비 프로그래밍 언어 생태계에서 사용되는 젬, 누군가 오염시켜 퍼트리려 함.
2. strong_password라는, 암호 설정 관련 젬에서 수상한 코드가 발견된 것.
3. 개발자들 사이에 유통되는 젬을 오염시키는 공격, 조금씩 그 모습을 드러내고 있음.
[국제부 문가용 기자(globoan@boannews.com)]
원래 개발자가 소유권 잃고도 몰라…이번 사건 통해 다시 회복했지만
[보안뉴스 문가용 기자] 한 개발자가 루비(Ruby)라는 프로그래밍 언어 생태계에서 사용되는 젬(gem)에서 악성 코드를 발견했다. 원격의 공격자가 임의의 코드를 실행하게 해주는 악성 코드였다. 발견자는 튜트 코스타(Tute Costa)라는 인물이며, 문제가 발견된 젬은 strong_password라고 한다.
[이미지 = iclickart]
코스타는 한 레일즈(Rails) 애플리케이션에서 사용되고 있는 젬들을 업데이트하고 있었다. 그러던 중 strong_password의 0.0.7 버전이 루비의 각종 젬들을 호스팅 하는 RubyGems.org를 통해 배포되고 있다는 것을 알아챘다. 이상했던 건, 다른 젬들이 보통 그러하듯 깃허브(GitHub)를 통해서는 배포되지 않고 있었다는 점이다.
“strong_password는 루비 언어에서 사용되는 젬입니다. 개발자들은 이 젬을 가져다가 자신이 개발한 애플리케이션에 집어넣음으로써, 사용자들이 강력한 비밀번호를 설정할 수 있도록 유도할 수 있게 됩니다. 이 젬은 꽤나 인기가 많고, 현재까지 25만 번 이상 다운로드 됐습니다. 0.0.6 버전의 경우 3만 8천번 정도의 다운로드 수를 기록하고 있습니다.”
약간은 다른 방식으로 배포되고 있던 strong_password 0.0.7이 수상했던 코스타는 분석을 시작했고, 그 결과 파일의 맨 마지막에 기존 버전에 없던 코드가 몇 줄 달려있음을 발견할 수 있었다고 한다.
“최대 한 시간까지 무작위의 시간 동안 대기하는 기능, strong_password 젬을 사용하는 애플리케이션이 실행되고 있는지 확인하는 기능, 실행되고 있을 경우 페이스트빈(Pastebin)의 게시글 하나에 저장되어 있는 코드를 가져와 실행시키는 기능을 가지고 있었습니다.”
문제의 페이스트빈 게시글은 편집이 가능한 상태였다. 즉 공격자가 마음만 먹으면 다양한 공격을 실시할 수 있었다는 뜻이다. 여기까지 알아낸 코스타는 strong_password의 개발자인 브라이언 맥마누스(Brian McManus)에 연락을 취했다. 사안을 검토한 맥마누스는 “누군가 젬을 하이재킹했고, 소유권을 뺐겼다”고 알렸다.
이 소식을 접한 Rubygems.org는 악성 strong_password 젬을 사이트에서 삭제하고, 관련 계정을 차단했다. 그리고 다시 맥마누스에게 strong_password의 소유권을 돌려주었다.
루비 생태계의 보안 서비스 제공업체인 루비섹(Rubysec)은 “strong_password 0.0.7 사태에 CVE-2019-13354라는 번호가 부여되었다”고 알리며 “이미 이 악성 버전을 설치한 사용자들이라면 0.0.6으로 다운그레이드 할 것”을 권고했다. Rubygems.org에 의하면 다운로드 회수는 537번이라고 한다.
이 사건은 현재 루비 커뮤니티에서 큰 화제다. 일부는 “루비 생태계 전체에 영향을 줄 수 있는 취약점을 공격자가 알아낸 것 같다”며 우려를 표현하고 있다. 그도 그럴 것이 본래 소유권을 가진 젬 개발자가, 자신의 소유권이 사라진 사실을 모르고 있었기 때문이다. 하지만 일부는 “해당 개발자의 계정만이 침해당했을 것”이라고 보고 있다.
또한 앞으로 다른 인기 젬을 통한 침해 시도가 꾸준히 일어날 수 있다는 점도 거론되고 있다. 인기가 높은 젬의 경우 수천만 번 이상 다운로드가 되기도 한다. 일각에서는 보다 인기가 적은 젬을 사용해 표적 공격을 조용히 실시하는 것도 가능할 수 있다는 시나리오를 제시했다.
루비 젬을 통한 악성 공격 시도가 발견된 건 처음이 아니다. 지난 3월 누군가 bootstrap-sass라는 젬을 악의적으로 조작해 커뮤니티 전체로 푸시한 적이 있다. 공격자가 임의의 명령어를 실행할 수 있도록 해주는 내용이 담겨 있었다. 당시 2900만 명이 이 젬을 다운로드 받았었다.
3줄 요약
1. 루비 프로그래밍 언어 생태계에서 사용되는 젬, 누군가 오염시켜 퍼트리려 함.
2. strong_password라는, 암호 설정 관련 젬에서 수상한 코드가 발견된 것.
3. 개발자들 사이에 유통되는 젬을 오염시키는 공격, 조금씩 그 모습을 드러내고 있음.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-01] 
