기업들의 업무 처리에 널리 사용되는 솔루션...발견된 취약점, 지난 1월에 패치돼
사용자 기업들 사이에서 패치 적용 잘 되지 않고 있어...금전 손해로 직결되는 문제
[보안뉴스 문가용 기자] 기업들 사이에서 널리 사용되는 오라클 이비즈니스 스위트(Oracle E-Business Suite, EBS)에서 두 가지 취약점이 발견됐다. 패치가 이미 나왔으니, 사용자 기업들은 하루라도 빨리 적용할 것이 권장된다. 그렇지 않을 경우 금융 사기 피해에 노출될 수 있다고 보안 업체 오냅시스(Onapsis)가 경고했다.
문제의 취약점은 CVE-2020-2586과 CVE-2020-2587이다. 익스플로잇 하는 데 성공할 경우 EBS에 포함된 총계정원장 애플리케이션에 임의의 변경을 가할 수 있게 된다고 오냅시스가 보고서를 통해 알렸다. 이를 통해 기업 재정과 관련된 민감한 정보를 훔치거나 조작할 수 있게 되고, 이를 훔쳐내 협박하면서 돈을 요구할 수도 있다.
총계정원장 애플리케이션은 오라클 EBS 모든 인스턴스에 자동으로 설치된다. 비활성화시키거나 삭제하는 건 불가능하다. 다만 2020년 1월에 오라클에서 발표한 패치를 적용하면 문제가 해결된다. “하지만 이런 쉬운 해결책이 있음에도 아직 수많은 조직들이 이 패치를 적용하지 않고 있습니다. 따라서 많은 조직들의 금융 정보가 위험에 처해 있죠.” 오냅시스의 CTO인 후안 페레즈에체고옌(Juan Perez-Etchgoyen)의 설명이다.
“인터넷에 연결된 시스템의 모든 소프트웨어 및 구성 요소들이라면 업데이트 여부를 반드시 확인해야 합니다. 특히 재택 근무자가 늘어난 지금과 같은 환경에서라면 이는 더더욱 중요한 일이지요. 인터넷에 노출된 시스템이 기하급수적으로 늘어났으니까요.”
물론 인터넷에 노출된 모든 시스템을 점검하고 업데이트한다는 게 말처럼 쉬운 건 아니다. 따라서 우선순위를 정해서 패치를 해나가야 한다. 페레즈에체고옌은 사업 운영에 필수적인 소프트웨어부터 처리해야 한다고 강조한다. “전사적 자원 관리(ERP) 소프트웨어 같은 것이 좋은 예죠. 업데이트 점검 시 가장 먼저 처리되어야 하는 것들이 바로 이런 소프트웨어들입니다. 오라클 EBS도 이런 류의 소프트웨어죠.”
그러면서 그는 “한 조직의 보안 성숙도는 업데이트 되지 않은 요소들이 얼마나 많은가로 판가름할 수 있다”고 말했다.
오라클의 EBS는 중요한 사업 진행에 있어 필수적인 기능을 제공하는 소프트웨어다. 최근 원격 근무자들이 늘어나면서 EBS의 활용률이 한층 더 높아지기도 했다. 외부로 나간 임직원들이 EBS 인스턴스를 제각각 가지고 나가 일을 처리하기 시작했기 때문이다. 지난 6개월 동안 “인터넷을 통해 노출되어 있는 EBS 인스턴스가 30%가량 늘어났다”고 한다.
“시스템을 인터넷에 노출시키는 이유는 대부분 ‘편의성’으로 귀결됩니다. 편리하려고 하는 것이다보니, 보안 설정이라는 불편함을 잊거나 간과합니다. 일단 업무가 ‘펑크’나면 안 되니까 급하게 연결해서 일처리를 하면서 보안을 망각하는 것이죠. 그렇기 때문에 원격 근무자 하나를 파견 보내는 일에도 IT 보안 담당자들의 참여가 필요합니다. 단순히 CEO들이 사업적 필요만을 위해 결정할 게 아닙니다.”
3줄 요약
1. 기업들 사이에서 널리 사용되는 솔루션인 오라클 EBS에서 취약점 두 개 발견됨.
2. 사실 이미 지난 1월에 패치된 것이었으나, 사용자들의 패치 적용률이 떨어짐.
3. 취약점 패치하지 않을 경우 각종 금전 피해로 이어질 수 있으니 주의.
[국제부 문가용 기자(globoan@boannews.com)]
사용자 기업들 사이에서 패치 적용 잘 되지 않고 있어...금전 손해로 직결되는 문제
[보안뉴스 문가용 기자] 기업들 사이에서 널리 사용되는 오라클 이비즈니스 스위트(Oracle E-Business Suite, EBS)에서 두 가지 취약점이 발견됐다. 패치가 이미 나왔으니, 사용자 기업들은 하루라도 빨리 적용할 것이 권장된다. 그렇지 않을 경우 금융 사기 피해에 노출될 수 있다고 보안 업체 오냅시스(Onapsis)가 경고했다.
[이미지 = utoimage]
문제의 취약점은 CVE-2020-2586과 CVE-2020-2587이다. 익스플로잇 하는 데 성공할 경우 EBS에 포함된 총계정원장 애플리케이션에 임의의 변경을 가할 수 있게 된다고 오냅시스가 보고서를 통해 알렸다. 이를 통해 기업 재정과 관련된 민감한 정보를 훔치거나 조작할 수 있게 되고, 이를 훔쳐내 협박하면서 돈을 요구할 수도 있다.
총계정원장 애플리케이션은 오라클 EBS 모든 인스턴스에 자동으로 설치된다. 비활성화시키거나 삭제하는 건 불가능하다. 다만 2020년 1월에 오라클에서 발표한 패치를 적용하면 문제가 해결된다. “하지만 이런 쉬운 해결책이 있음에도 아직 수많은 조직들이 이 패치를 적용하지 않고 있습니다. 따라서 많은 조직들의 금융 정보가 위험에 처해 있죠.” 오냅시스의 CTO인 후안 페레즈에체고옌(Juan Perez-Etchgoyen)의 설명이다.
“인터넷에 연결된 시스템의 모든 소프트웨어 및 구성 요소들이라면 업데이트 여부를 반드시 확인해야 합니다. 특히 재택 근무자가 늘어난 지금과 같은 환경에서라면 이는 더더욱 중요한 일이지요. 인터넷에 노출된 시스템이 기하급수적으로 늘어났으니까요.”
물론 인터넷에 노출된 모든 시스템을 점검하고 업데이트한다는 게 말처럼 쉬운 건 아니다. 따라서 우선순위를 정해서 패치를 해나가야 한다. 페레즈에체고옌은 사업 운영에 필수적인 소프트웨어부터 처리해야 한다고 강조한다. “전사적 자원 관리(ERP) 소프트웨어 같은 것이 좋은 예죠. 업데이트 점검 시 가장 먼저 처리되어야 하는 것들이 바로 이런 소프트웨어들입니다. 오라클 EBS도 이런 류의 소프트웨어죠.”
그러면서 그는 “한 조직의 보안 성숙도는 업데이트 되지 않은 요소들이 얼마나 많은가로 판가름할 수 있다”고 말했다.
오라클의 EBS는 중요한 사업 진행에 있어 필수적인 기능을 제공하는 소프트웨어다. 최근 원격 근무자들이 늘어나면서 EBS의 활용률이 한층 더 높아지기도 했다. 외부로 나간 임직원들이 EBS 인스턴스를 제각각 가지고 나가 일을 처리하기 시작했기 때문이다. 지난 6개월 동안 “인터넷을 통해 노출되어 있는 EBS 인스턴스가 30%가량 늘어났다”고 한다.
“시스템을 인터넷에 노출시키는 이유는 대부분 ‘편의성’으로 귀결됩니다. 편리하려고 하는 것이다보니, 보안 설정이라는 불편함을 잊거나 간과합니다. 일단 업무가 ‘펑크’나면 안 되니까 급하게 연결해서 일처리를 하면서 보안을 망각하는 것이죠. 그렇기 때문에 원격 근무자 하나를 파견 보내는 일에도 IT 보안 담당자들의 참여가 필요합니다. 단순히 CEO들이 사업적 필요만을 위해 결정할 게 아닙니다.”
3줄 요약
1. 기업들 사이에서 널리 사용되는 솔루션인 오라클 EBS에서 취약점 두 개 발견됨.
2. 사실 이미 지난 1월에 패치된 것이었으나, 사용자들의 패치 적용률이 떨어짐.
3. 취약점 패치하지 않을 경우 각종 금전 피해로 이어질 수 있으니 주의.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-05] 
