PHP 긴급 업데이트 공개, 원격 코드 실행 취약점 2개 패치
원제 Today's PHP security release, and how we're strengthening security
244 포인트댓글 123
Key Point
PHP의 심각한 보안 취약점이 실제 공격에 노출되기까지의 과정과 조직적 한계, 그리고 개선 방향을 이해해야 자신의 시스템 보안 대응이 필요한지 판단할 수 있다.
핵심 요약
- PHP는 오늘 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35를 릴리스하여 비인증 공격자의 원격 코드 실행을 허용하는 2개의 심각한 취약점을 패치했다.
- 두 취약점 모두 메모리 관리와 에러 처리 영역에 있어 거의 모든 PHP 요청이 영향을 받으므로 심각하며, 기존 호환성 유지와 성능 손실 없이 수정하기 어려웠다.
- 2024년 PHP 재단은 Sovereign Tech Agency 펀딩으로 Quarkslab의 첫 외부 보안 감사를 받았고, 감사 과정에서 PHP 개발자가 OOM(Out of Memory) 문제의 초기 신호를 발견했다.
- OOM 문제 해결을 위해 보안팀은 호환성 파괴, 새로운 서비스 거부 위험, 제3자 확장 프로그램 대규모 수정 등의 상충관계가 있는 여러 방안을 검토했으나 선택을 못 하고 결정이 수개월 반복 지연되었다.
- PHP 재단은 5월 생태계 보안팀을 신설하고, AI 보안 엔지니어, 보안 분석가, 보안 강화 전문가를 채용하여 조직을 개선했다.
- 7월 30일부터 보안회사 Calif가 감사를 시작했고, 8월 11일 Calif의 Ryan A 연구원이 2024년 발견한 OOM 문제와 동일한 원인의 원격 코드 실행 취약점을 보고했다.
- 같은 날 OpenAI가 동일한 원인을 독립적으로 보고했고, 이후 OpenAI와 Wiz에서 추가 공격 벡터를 제시하여 OOM 문제의 전체 영향이 명확해지면서 8월 11일부터 최우선 과제가 되었다.
- 10월 20일 15시 UTC경 CVE ID가 온라인 포럼과 소셜미디어에 유출되자, PHP 프로젝트는 10월 22일 14시 UTC였던 공개 일정을 10월 21일 14시 UTC로 앞당겼다.
- 10월 21일 07시 41분 UTC에 Chainguard가 일방적으로 패치가 포함된 컨테이너 이미지를 공개하여 공개 협력 조율을 훼손했다.
- PHP 재단은 보안 문제 해결을 위해 조직 개선과 함께 의사결정 프로세스 변경으로 복잡한 수정이 필요한 취약점이 발견되면 더 빠르게 해결될 수 있도록 개선했다.
- 웹 전체의 상당 부분이 PHP에 의존하지만 보안 업무는 여전히 재단 펀딩을 받는 소수 개발자와 자원봉사자에 의존하고 있으며, PHP 재단은 후원을 통해 자금을 확보하고 깊이 있는 개발자를 육성할 계획이다.