VM웨어 클라우드 관리 플랫폼에서 ‘접근 제어 누락 취약점’ 발견

공격자 임의로 접근 허용하고, 데이터 탈취할 수 있는 치명적인 취약점
“신속한 패치와 함께 클라우드 로그 모니터링 중요”

[보안뉴스 박은주 기자] 클라우드 컴퓨팅 기업 VMware(VM웨어)의 클라우드 인프라 관리 플랫폼 Aria Automation(아리아 오토메이션)에서 접근 제어 누락 취약점이 발견돼 신속한 패치가 요구된다. CVSS 9.9점으로 만점에 가까운 치명적인 보안 취약점이다.

[로고=VM웨어]

해당 취약점(CVE-2023-34063)이 발견된 아리아 오토메이션은 클라우드 환경에서 애플리케이션을 구축하고 관리할 수 있는 자동화 플랫폼으로 사용자가 지정한 리소스를 퍼블릭·프라이빗 클라우드에 배포하는 기능을 담당한다.

이진헌 화이트해커는 “해당 취약점을 악용할 경우 인증이 안됐지만 인증된 상태를 가장해 대부분의 행동을 할 수 있게 된다”며 “이를 클라우드 서비스에 적용해 피해를 예상해 보면, 서비스를 파괴할 수 있고, 심지어 서비스를 복제할 가능성도 있다”고 취약점의 위험성을 설명했다.

▲‘CVE-2023-34063’ 취약점에 영향받는 제품 및 해결 방안[자료=KISA 보호나라]

VM웨어도 공격자 임의로 접근을 허용하고 데이터를 탈취할 수 있는 위험이 존재한다고 밝히며 보안 업데이트를 발표했다. 영향받는 제품과 해결 버전은 위 표와 같다. 취약점에 영향을 받는 버전을 사용한다면, 최신 버전으로 업데이트가 권장된다.

이진헌 화이트해커는 “취약한 버전을 사용한다면 최신 업데이트를 즉시 진행해야 하며, 꾸준한 클라우드 로그 모니터링이 중요하다”고 당부했다.

VM웨어에서는 또 다른 취약점이 발견되기도 했다. VM웨어 브이센터 서버(VMware vCenter Server)의 아웃 오브 바운드 라이트(out-of-bounds write) 취약점 ‘CVE-2023-34048’으로, CVSS 9.8점을 기록한 치명적인 취약점이다. 보안기업 맨디언트(Mandiant)에 따르면 중국의 사이버 공격 단체 ‘UNC3886’가 해당 취약점을 악용해 2년 동안 제로데이(Zero-day) 공격을 감행했다는 사실이 드러났다.
[박은주 기자(boan5@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)