오픈SMTPD에서 임의 명령 실행 취약점 발견돼

표준 이메일 프로토콜인 SMTP를 오픈소스로 구현한 인기 높은 프로젝트
익스플로잇 성공했을 때 임의 셸 코드 실행 가능해...시급한 패치 적용 필수

[보안뉴스 문가용 기자] 보안 업체 퀄리스(Qualys)의 보안 전문가들이 오픈SMTPD(OpenSMTPD)에서 잠재적으로 위험할 수 있는 취약점을 발견했다. 취약점 익스플로잇에 성공할 경우 원격 명령 실행이 가능하다고 한다.

[이미지 = iclickart]

오픈SMTPD는 오픈BSD 프로젝트(OpenBSD Project)에서 만든 오픈소스로, SMTP를 구현한 것이다. SMTP는 전자우편 전송 프로토콜이다. 오픈SMTPD의 휴대용 버전은 다양한 BSD 및 리눅스 버전만이 아니라 애플의 맥OS X에서도 실행이 된다. 높은 호환성을 보여 꽤나 각광받고 있기도 하다.

하지만 퀄리스에 의하면 오픈SMTPD에는 치명적인 취약점이 하나 존재한다고 한다. “이 취약점을 통해 공격자들은 루트 권한을 가지고 임의의 셸 명령을 실행할 수 있게 됩니다. 오픈SMTPD가 디폴트로 설정되어 있는 시스템에 물리적으로 접근했을 때는 물론 원격에서도 익스플로잇이 가능합니다.”

이 취약점에는 CVE-2020-7247이라는 관리 번호가 붙었다. 정확히는 smtp_mailaddr()이라는 함수에 위치해 있는 것으로 알려졌다. 이 함수는 메일 전송자와 수신자의 이메일 주소의 무결성을 확인하는 기능을 가지고 있다. 특수하게 조작된 이메일을 통해 취약점을 발동시키는 게 가능하다.

문제는 이 취약점이 2018년 5월부터 ‘익스플로잇 가능한 상태’였다는 것이라고 퀄리스는 강조했다. 현재 퀄리스는 기술 세부 사항을 전부 공개한 상태이며, 해커 뉴스(Hacker News)라는 곳에서 이 취약점에 대한 논의가 일어나고 있다. 특히 근원적인 문제가 무엇인지에 대한 이야기가 계속해서 공유되고 있는 상황이다.

이에 오픈SMTPD를 관리하는 조직에서는 위 취약점에 대한 패치를 긴급히 발표했다. 그러면서 사용자들에게 “최대한 빨리 적용할 것”을 촉구하고 있는 상황이다. 또한 문제의 근원에 대한 내용을 빠른 시일 안에 파악하여 공개하겠다고도 약속했다.

오픈SMTPD에서 퀄리스가 취약점을 찾아 발표한 것은 이번이 처음이 아니다. 2015년 퀄리스는 오픈SMTPD에 대한 보안 감사를 실시했고, 취약점과 오류를 여러 개 발견한 바 있다. 당시 해당 취약점을 익스플로잇 할 경우, 디도스, 정보 탈취, 권한 상승, 임의 코드 실행 공격 등이 가능한 것으로 나타났다.

패치는 여기(https://www.mail-archive.com/misc@opensmtpd.org/msg04850.html)서 열람 및 다운로드가 가능하다.

3줄 요약
1. 이메일 전송 프로토콜를 오픈소스로 구현한 오픈SMTPD에서 취약점 발견됨.
2. 이미 2018년 5월부터 취약점이 존재해왔던 상태로, 익스플로잇이 이뤄지고 있을 가능성 있음.
3. 패치 적용 시급함.
[국제부 문가용 기자(globoan@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)