php 보안취약 꽤 심각한가봄

지금 인터넷에 무슨 일이 터진 걸까?

eMudhra 인증서 사고 & PHP 치명적 보안 취약점 쉬운 설명

① HTTPS 인증서 사고: "비밀번호를 1234로 만든 신분증 발급소"

■ 무슨 일이 일어났나?
웹사이트 주소창의 자물쇠(HTTPS)는 '인증기관(CA)'이라는 곳이 보증해 줍니다. 그런데 글로벌 인증기관 중 하나인 eMudhra에서 중간 인증서 8개의 비밀키(개인키)를 만들 때 어이없는 실수를 저질렀습니다.
원래대로라면 슈퍼컴퓨터로도 못 푸는 엄청나게 복잡한 난수여야 하는데, 전부 '256 미만'의 아주 작은 숫자(예: 숫자 4)로 비밀키를 만들어버린 것입니다.

■ 왜 위험했나?
인증기관의 마스터키가 너무 쉬워서 누구나 즉시 알아낼 수 있었습니다. 해커가 이 키를 쓰면 세상 모든 웹사이트(은행, 포털 등)의 가짜 신분증을 마음대로 위조할 수 있는 상황이었습니다.

② PHP 치명적 취약점 (위험도 9.2): "로그인도 없이 남의 서버 장악"

■ 무슨 일이 일어났나?
워드프레스, 그누보드, 각종 쇼핑몰과 커뮤니티 등 수많은 웹사이트의 기반이 되는 PHP 엔진 자체에서 치명적인 결함 2건이 발견되었습니다.

■ 어떻게 공격당하나?
1. 메모리 과부하 유도: 해커가 파일 업로드 등 대량의 데이터를 보내 서버 메모리가 터지게(OOM) 만듭니다.
2. 초기화 덜 된 틈 공략: 메모리가 뻗으면서 데이터가 반쯤 처리된 어정쩡한 상태로 남는데, 바로 다음 요청이 이 찌꺼기 데이터를 건드리면서 해커가 원하는 명령어를 서버에서 그대로 실행(RCE)하게 됩니다.

■ 왜 진짜 심각한가?
• 로그인이나 권한이 아예 필요 없습니다. 웹 요청을 받기만 하면 공격이 통합니다.
• 홈페이지 보안 패치로 안 막아집니다. 웹사이트 코드가 실행되기도 전에 PHP 엔진 단계에서 털리기 때문에, 게시판이나 플러그인을 업데이트해도 소용없습니다.