금융권, nginx 등 고위험 오픈소스 긴급 점검 지시... 미토스發 충격파 대비 작성일 05-27 32 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="ZsFnlYsAET"> <p contents-hash="497b8ed3c75c7cb9ec1ea024d25f5b61c242cb21abb75a03e0c160162ca189d0" dmcf-pid="5O3LSGOcOv" dmcf-ptype="general"><strong>앤트로픽 ‘프로젝트 글래스윙’ 통해 검증 완료된 1596건 중 27개 주요 결함 공개<br>벤더 패치율 6.1% 불과해 금융당국 전 금융권 대상 긴급 자산 점검령 하달</strong></p> <p contents-hash="0d202cc70cad8101c48a61f68e49792ea60c2b0e04a1999eecd4bcc072b22764" dmcf-pid="1wtihWmjIS" dmcf-ptype="general">[보안뉴스 조재호 기자] 앤트로픽이 자사 AI 모델 미토스를 활용해 찾아낸 대규모 오픈소스 취약점을 공개함에 따라 금융당국이 금융권에 신속한 자산 점검과 실무적 방어 조치를 지시했다. </p> <p contents-hash="f489af0a1d410b6e5c2ffac5d0368ec8e76b0ed4bf2e90cebe7b05b51242af08" dmcf-pid="trFnlYsAml" dmcf-ptype="general">앤트로픽은 23일(현지시간) 소수 파트너 기업 및 기관에 미토스 프리뷰를 제공하는 ‘프로젝트 글래스윙’을 추진하며 식별한 취약점(CVD Ledger)을 공개했다.</p> <figure class="figure_frm origin_fig" contents-hash="ca51086a7b8875c8b6613efc4ce76956b852beebcc4541731b24268b85d06bbb" dmcf-pid="Fm3LSGOcmh" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202605/27/552815-KkymUii/20260527160740908tyeo.jpg" data-org-width="750" dmcf-mid="H2uNW5lwrW" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202605/27/552815-KkymUii/20260527160740908tyeo.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> ▲앤트로픽 CVD 대시보드의 취약점 후보군 통계 [출처: 앤트로픽] </figcaption> </figure> <div contents-hash="07eeb2f66e39b3b855cf4ec0dd44631753cffaf0a268233ecce33ff90354d52d" dmcf-pid="3s0ovHIkmC" dmcf-ptype="general"> <br><strong>2만3019개, 클로드 미토스가 찾은 결함 후보군</strong> <br>이번에 공개된 취약점은 엔트로픽 차세대 AI 모델 ‘클로드 미토스 프리뷰’(Claude Mythos Preview)가 1000개 이상의 오픈소스를 스캔해 찾아낸 2만3019개의 결함 후보군에서 추려낸 결과다. 이들 후보군에서 1900건에 대해 외부 전문가들이 검증을 진행, 1726건이 실제 취약점으로 확정됐다. </div> <p contents-hash="84489976dec465a1bc45926a940829589658f8b673bcc064c98f4ddda3e52d58" dmcf-pid="0OpgTXCEsI" dmcf-ptype="general">이중 1596건이 제조사에 공식 전달됐다. 하지만 현재 패치가 완료된 취약점은 97건에 불과하다. 이중 27개의 주요 취약점 정보가 이번에 우선 공개됐다. </p> <p contents-hash="d7959aefd733fed87621dd5ed3d97a657409d553a78d57a230fec35116b1ffa2" dmcf-pid="pIUayZhDsO" dmcf-ptype="general">취약점 중 28.9%인 462건은 힙 버퍼 오버플로우(heap/stack-buffer-overflow) 등 치명적 메모리 안전성 결함이었다. 인증 우회 및 권한 상승 등 접근제어 취약점도 270건(16.9%)로 나타나 기술적 위험도가 높은 것으로 분석됐다.</p> <p contents-hash="d7769a9d0cf3a1eb7a170a5939047f2d35032b9bc848af6bc9b766a4317cbbe3" dmcf-pid="UCuNW5lwms" dmcf-ptype="general"><strong>WebDAV 모듈 등 금융권 핵심 자산에서 취약점 나와</strong><br>금융보안원은 공개된 취약점 중 국내 금융 서비스에 당장 큰 영향을 미칠 만한 것은 없는 것으로 판단했다. 하지만 운영 환경을 면밀히 검토해 취약한 제품을 사용할 경우 신속히 패치하라고 권고했다. </p> <p contents-hash="8aff395e1dde949e24d2a71d9751661be86cb26c3237e1aa1b1882c975627877" dmcf-pid="uh7jY1SrIm" dmcf-ptype="general">공개된 취약점엔 국내외 인프라에 널리 쓰이는 핵심 모듈의 치명적 결함이 다수 포함됐다. 고성능 웹서버에 쓰이는 ‘nginx’의 경우 WebDAV 모듈에서 alias 지시문을 사용할 때 짧은 Destination 요청으로 인해 인증되지 않은 상태에서 원격 파일 쓰기를 유발할 수 있는 취약점(CVE-2026-27654)이 확인됐다. 다만 이 취약점은 WebDAV 모듈이 활성화된 경우에만 영향을 미치므로 자사 인프라의 설정 상태를 우선 점검해야 한다.</p> <p contents-hash="f3d9e3e0303ba9091507cf6c71c0d031f670010b6465676d0b4df7f09e877ebf" dmcf-pid="7lzAGtvmrr" dmcf-ptype="general">또 IoT 기기용 경량 암호화 라이브러리 ‘wolfSSL’에서 verify_cb가 1을 반환할 때 X509 리프 인증서의 서명 검증을 건너뛰는 결함(CVE-2026-5501)이 발견됐다. 윈도우 원격 접속 클라이언트 ‘FreeRDP’에서는 클립보드 채널 검증 누락으로 인한 원격 코드 실행 취약점(CVE-2026-44420)이, Node.js 기반 블로깅 콘텐츠 관리 시스템(CMS) ‘고스트’(Ghost)에서는 인증 없이 데이터베이스의 민감 레코드를 탈취할 수 있는 SQL 인젝션 결함이 드러났다.</p> <figure class="figure_frm origin_fig" contents-hash="a14b73010d84a5b5cd0bcd18ef62d791be9805349a31a5ec36c2cb3add84b9a5" dmcf-pid="zSqcHFTsrw" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202605/27/552815-KkymUii/20260527160742222mgqo.jpg" data-org-width="1000" dmcf-mid="XAYQwCAiIy" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202605/27/552815-KkymUii/20260527160742222mgqo.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> ▲공개 취약점 상세 내역 [출처: 생성형 AI 이미지 활용] </figcaption> </figure> <div contents-hash="e9db31905c5120dcd77aa7f2c349371b59a856e158ab1800402b06a5feb47b2f" dmcf-pid="qCuNW5lwOD" dmcf-ptype="general"> <br><strong>기능 격리 및 자산 식별 중심 보안 패러다임 전환</strong> <br>이번 취약점 공개를 계기로 금융감독원은 금융사에 오픈소스 구성요소 사용 여부와 취약 버전 해당 여부를 면밀히 점검할 것을 지시했다. </div> <p contents-hash="bbe52c909cd884e2d8ad5830c120b725b3675db59c56664ec2a0c0c5dbf9fc04" dmcf-pid="Bh7jY1SrmE" dmcf-ptype="general">금융보안원은 소프트웨어 자재명세서(SBOM)를 통한 자산 식별이 선행돼야 한다고 강조했다. 국가 취약점 데이터베이스(NVD) 기준 연간 3만건 이상 쏟아지는 CVE에 일일이 대응하기 불가능하기 때문이다. 단순히 무엇을 쓰는가를 넘어 인터넷 노출 여부와 데이터 민감도 등 환경적 맥락을 파악해야 패치가 나오기 전이라도 기능 격리나 임시 우회 등 운영 환경에 맞는 조치 방안을 마련할 수 있다는 지적이다.</p> <p contents-hash="dc5ba5bc306566e5d77b945147ec33bbaa5c4abfc8d53bd7aa51ddb77e0a4ada" dmcf-pid="blzAGtvmrk" dmcf-ptype="general">한 보안 전문가는 “AI를 통해 고작 15개의 오픈소스 프로젝트를 점검했음에도 주요 취약점이 대거 도출됐다는 사실은 지금까지 집단지성에 의존해 온 오픈소스 취약점 점검의 역사가 완전히 뒤바뀔 수 있음을 의미한다”며 “앞으로 오픈소스 생태계의 리스크는 기하급수적으로 높아질 것이며 개발자 및 운영자가 인지하지 못하는 제로데이 취약점이 끊임없이 발생해 생태계에 대혼란이 예상된다”고 우려했다.</p> </section> </div> <p class="" data-translation="true">Copyright © 보안뉴스. 무단전재 및 재배포 금지.</p> 관련자료 이전 차인표, 세상 떠난 동료들 떠올리며 ‘그들의 하루’ 집필 “왜 살갑게 대하지 못했을까” 05-27 다음 엔씨, ‘아이온2’ 최상위 PvE 콘텐츠 ‘무스펠의 성배’ 업데이트 05-27 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
