📢 Apache Struts 2 취약점: 왜 지금 이 문제가 중요할까?

안녕하세요, 여러분!
오늘은 IT 보안 업계에서 다시 한번 큰 주목을 받고 있는 Apache Struts 2 취약점에 대해 알아보겠습니다. 😨
이번에 발견된 CVE-2024-53677은 시스템을 위험에 빠뜨릴 수 있는 매우 심각한 취약점인데요.
이 글에서는 초보자도 쉽게 이해할 수 있도록 문제의 원인, 해결 방법, 그리고 우리가 배워야 할 점을 정리해 보았습니다.

---

🚨 이번 취약점, 무엇이 문제일까?

Apache Struts 2는 과거에 널리 사용되었던 Java 웹 애플리케이션 프레임워크입니다.
하지만 이번 취약점(CVE-2024-53677)은 File Upload Interceptor라는 컴포넌트에서 발생했으며,
경로 탐색(Path Traversal)이라는 공격 기법을 통해 서버에 원격 코드 실행(RCE)을 가능하게 합니다.

이 취약점이 주목받는 이유는 단순히 새로 발견된 문제가 아니라 작년에 발생했던 취약점(CVE-2023-50164)이 제대로
수정되지 않은 채 다시 악용되었기 때문이에요. 😓

---

🧩 CVE-2023-50164와 CVE-2024-53677의 차이점

• CVE-2023-50164: 공격자가 파일 업로드 매개변수를 조작하여 경로 탐색을 통해 악성 스크립트를 서버에 업로드하고 실행할 수 있는 취약점이었습니다.
• CVE-2024-53677: CVE-2023-50164의 패치가 불완전해 동일한 취약점이 재발했습니다. 공격자는 **공개된 PoC(개념 증명)**를 활용하여 서버에 간단한 스크립트를 업로드하고 이를 실행하려 시도합니다.

---

1.  

🛠️ 이 문제를 해결하려면?

대부분의 취약점은 패치만 적용하면 해결되지만, 이번 문제는 훨씬 복잡합니다.
🌀 Apache는 최신 버전 6.7.0으로 업그레이드할 것을 권장하지만, 다음과 같은 추가 조치가 필요합니다.

1. 기존 코드와 호환되지 않음

• Apache는 기존의 File Upload Interceptor를 폐기하고 새로운 Action File Upload Interceptor를 도입했습니다.
• 이 새로운 컴포넌트를 사용하려면 기존 파일 업로드 로직을 전면적으로 재작성해야 합니다.

2. 복잡한 테스트 과정

• 레거시 시스템에서는 플러그인 체인과 의존성이 얽혀 있어, 모든 기능이 제대로 작동하는지 확인하려면 광범위한
  회귀 테스트가 필요합니다.

3. 공격 노출 기간 연장

• 새로운 인터셉터로 마이그레이션하는 과정이 오래 걸리기 때문에,
  공격자가 취약점을 악용할 수 있는 시간이 늘어나게 됩니다.

---

🌏 왜 많은 관심을 받는 걸까?

Struts 2는 요즘 많이 사용되지는 않지만, 여전히 레거시 시스템에서 널리 사용되고 있어요.
특히, 금융, 보험, 정부 등 보수적인 산업에서 말이죠. 😬
이러한 시스템은 기술 부채와 현대화의 어려움 때문에 새로운 취약점에 더 민감합니다.

🛑 2017년 Equifax 사례를 떠올리며...

• 2017년, 미국의 신용평가 기관 Equifax는 Struts 2의 취약점으로 인해 약 1억 4,700만 명의 개인정보가 유출되는 대형 사고를 겪었습니다.
• 이 사고는 Struts 2 취약점이 얼마나 큰 피해를 가져올 수 있는지 잘 보여주는 사례였죠.

---

🔒 조직들이 취할 수 있는 해결책

단기적인 방어 전략

1. 최신 버전 업그레이드
   • Apache Struts 2의 6.7.0 버전으로 업그레이드하세요.
   • 최소한 6.4.0으로 업그레이드해도 File Upload Interceptor가 더 이상 사용되지 않아 취약점을 피할 수 있습니다.
2. 웹 애플리케이션 방화벽(WAF) 사용
   • 의심스러운 파일 업로드 요청을 차단해 경로 탐색 시도를 막으세요.
3. 파일 업로드 제한
   • 서버에서 실행 가능한 파일(예: .exe, .sh)의 업로드를 차단하고, 파일 이름과 확장자를 검사하는 정책을 도입하세요.

장기적인 현대화 전략

1. 기술 부채 관리
   • 레거시 시스템을 점검하고, 점진적으로 최신 기술로 전환하는 로드맵을 수립하세요.
   • 예를 들어, Spring Boot나 Micronaut 같은 최신 프레임워크로 이전을 고려해보세요.
2. 보안 프로세스 개선
   • CI/CD 파이프라인을 구축해 패치 적용과 배포 과정을 자동화하세요.
   • 정기적인 보안 감사와 테스트를 통해 취약점을 미리 찾아내는 것이 중요합니다.

1.  

---

🧐 자주 묻는 질문

Q1. 새로 권장되는 Action File Upload Interceptor는 기존과 무엇이 다른가요?

• 새로운 인터셉터는 최신 보안 표준을 따르며, 경로 탐색 같은 취약점을 방지할 수 있습니다.

Q2. 경로 탐색(Path Traversal)이란 무엇인가요?

• 공격자가 파일 경로를 조작해(예: ../../) 악성 파일을 의도한 위치에 업로드하는 기법입니다.

Q3. 패치만 적용하면 안전한가요?

• 아니요! 이번 수정은 이전 버전과 호환되지 않기 때문에, 기존 코드와 로직을 수정해야 합니다.

Q4. 레거시 시스템은 왜 취약점에 더 민감할까요?

• 최신 보안 프로세스(CI/CD 파이프라인 등)와 통합되지 않아서 패치와 배포에 시간이 오래 걸립니다.

---

✍️ 결론: Struts 2, 지금도 쓸 수 있을까?

이번 사건은 레거시 시스템의 취약성과 기술 부채가 얼마나 위험한지를 보여줍니다.
Struts 2 같은 오래된 프레임워크를 계속 사용하는 조직은 더 큰 보안 위협에 직면할 수밖에 없어요.

💡 우리 모두가 배울 점

1. 정기적인 시스템 점검과 업데이트가 필수입니다.
2. 새로운 기술로 점진적인 전환을 계획하세요.
3. 보안 취약점 공개 후 즉시 대응할 수 있는 프로세스를 마련하세요.

---

여러분의 시스템은 안전한가요? 😊
이번 기회에 점검해보는 건 어떨까요?
의견이나 궁금한 점은 댓글로 남겨주세요! 함께 안전한 IT 환경을 만들어가요! 💻✨