오픈소스 암호화 통신 기술인 'OpenSSL'에 치명적 보안 취약점이 발견되어 관계자들의 발빠른 대응이 요구된다.
OpenSSL 프로젝트팀은 현지 시간으로 10월 25일, OpenSSL 3.0.0부터 3.0.6 버전에서 치명적인 취약점을 발견하여 후속 버전인 3.0.7 버전을 11월 1일 긴급 배포한다고 알렸다.
구체적인 취약점은 밝히지 않았지만 원격 코드 실행이나 개인 정보 탈취 등에 악용될 수 있는 류로 추정된다. OpenSSL은 웹 사이트 보안을 위한 https 연결를 포함해 거의 모든 리눅스 서버 및 관련 오픈소스 시스템에서 암호화 통신 기능 구현에 활용 중이라, 프로젝트팀은 3.x 버전을 사용 중인 경우 빠르게 3.0.7 버전으로 업데이트할 것을 권했다.
한편, OpenSSL은 지난 2014년 메모리 누수 버그를 이용해 암호화를 무력화한 하트블리드(heartbleed) 취약점으로 곤욕을 치른적이 있는데, 하트블리드는 ‘OpenSSL 1.0.1’부터 ‘1.0.1f’ 및 ‘OpenSSL 1.0.2-beta’와 ‘1.0.2-beta1’ 버전에서 확인되었으며, 캐나다 국세청과 영국 육아 사이트 해캥등 대규모 개인정보 유출 사건을 불러왔다.
OpenSSL 3.0.7 버전서 패치되는 취약점이 하트블리드 급의 위험성을 보일지는 현재 알 수 없지만, 민감한 정보를 취급하는 곳이라면 가급적 빠르게 적용할 필요가 있어 보인다. 참고로 OpenSSL 1.x 버전에서는 관련 문제가 없는 것으로 알려졌다. |
