국내 DBMS시장의 60%를 점하고 있는 것으로 추산되는 오라클 데이터베이스(DB)의 보안취약점이 심각함에도 불구하고 관련 업계와 이용기업들의 대응이 미흡해 치명적인 위협에 노출돼 있다.
최근 오라클은 8i, 9i, 10g 등 DB제품 로그인 과정의 보안 취약점을 발견, 지난달 17일 이를 개선하기 위한 패치를 발표했다. 그러나 이에 대한 홍보가 미흡하고 안정성을 중요시하는 기업시스템의 특성 때문에 패치 적용이 늦어져 중요 DB의 유출이나 유실에 대한 우려가 높아지고 있다. 이 취약점을 악용하면 쉽게 관리자 계정을 획득할 수 있어 심하면 전산시스템이 마비될 가능성도 있다.
또 최근 보안업체의 테스트 결과 오라클이 제공하는 패치는 이 제품들의 세부버전 전부가 아닌 최신 버전만을 지원하는 것으로 나타났다. 이에 따라 최신버전을 사용하지 않는 기업의 경우 업그레이드에 따른 비용 지출을 해야 하는 것은 물론 이 기간동안 계속 위험에 노출돼 있어야 하는 상황이다.
오라클 DB의 보안 취약점에 대한 인식이나 정보도 크게 미흡한 실정이다. 이 때문에 많은 기업들이 패치를 설치하는 것을 서두르지 않고 있어 심각한 위험이 우려된다는 지적이다.
최근 국내 굴지의 모 대기업이 오라클 DB의 보안취약점을 통해 해킹을 하는 모의테스트를 실시한 결과 보안 패치가 되지 않은 상태에서는 일반 접속자 계정으로 쉽게 관리자 권한을 확보, DB기능을 무력화하거나 데이터 조작을 할 수 있는 것으로 확인됐다.
이 기업 시스템 관계자는 "방화벽이 없거나 SQL 캡처링(덤프) 지식과 노하우를 갖고 있는 내부자라면 특정 해킹 프로그램(스크립트)을 이용해 일반 계정만으로도 충분히 DB를 무력화할 수 있고 개발환경에서도 DB 해킹 가능성이 있다"며 "이 경우 심각한 사태가 벌어질 수 있다"고 말했다. 또 "오라클이 패치 제공사이트를 통해 긴급 패치 업데이트(CPU)를 제공했으나 자세한 설명이 없어 이처럼 심각한 문제인 줄은 몰랐다"고 밝혔다.
DB보안 전문업체인 엑셈의 관계자는 "기업의 경우 시스템의 안정성에 문제가 생길 것을 우려해 다양한 시험을 거친 뒤 패치를 적용하는 데 이번 보안취약점의 심각성이 큰 만큼 패치 적용이 시급하다"고 말했다.
이에 대해 한국오라클 측도 최근 문제의 심각성을 인식, 고객들에게 제공된 패치를 서둘러 설치하거나 DB 보안 정책을 강화할 것을 주문했다. 한국오라클 서태진 DB보안담당 실장은 "패치를 설치하기 위한 버전으로 마이너 업그레이드를 하거나 일반계정 관리에 주의를 기울여줄 것"을 당부했다.
최근 오라클은 8i, 9i, 10g 등 DB제품 로그인 과정의 보안 취약점을 발견, 지난달 17일 이를 개선하기 위한 패치를 발표했다. 그러나 이에 대한 홍보가 미흡하고 안정성을 중요시하는 기업시스템의 특성 때문에 패치 적용이 늦어져 중요 DB의 유출이나 유실에 대한 우려가 높아지고 있다. 이 취약점을 악용하면 쉽게 관리자 계정을 획득할 수 있어 심하면 전산시스템이 마비될 가능성도 있다.
또 최근 보안업체의 테스트 결과 오라클이 제공하는 패치는 이 제품들의 세부버전 전부가 아닌 최신 버전만을 지원하는 것으로 나타났다. 이에 따라 최신버전을 사용하지 않는 기업의 경우 업그레이드에 따른 비용 지출을 해야 하는 것은 물론 이 기간동안 계속 위험에 노출돼 있어야 하는 상황이다.
오라클 DB의 보안 취약점에 대한 인식이나 정보도 크게 미흡한 실정이다. 이 때문에 많은 기업들이 패치를 설치하는 것을 서두르지 않고 있어 심각한 위험이 우려된다는 지적이다.
최근 국내 굴지의 모 대기업이 오라클 DB의 보안취약점을 통해 해킹을 하는 모의테스트를 실시한 결과 보안 패치가 되지 않은 상태에서는 일반 접속자 계정으로 쉽게 관리자 권한을 확보, DB기능을 무력화하거나 데이터 조작을 할 수 있는 것으로 확인됐다.
이 기업 시스템 관계자는 "방화벽이 없거나 SQL 캡처링(덤프) 지식과 노하우를 갖고 있는 내부자라면 특정 해킹 프로그램(스크립트)을 이용해 일반 계정만으로도 충분히 DB를 무력화할 수 있고 개발환경에서도 DB 해킹 가능성이 있다"며 "이 경우 심각한 사태가 벌어질 수 있다"고 말했다. 또 "오라클이 패치 제공사이트를 통해 긴급 패치 업데이트(CPU)를 제공했으나 자세한 설명이 없어 이처럼 심각한 문제인 줄은 몰랐다"고 밝혔다.
DB보안 전문업체인 엑셈의 관계자는 "기업의 경우 시스템의 안정성에 문제가 생길 것을 우려해 다양한 시험을 거친 뒤 패치를 적용하는 데 이번 보안취약점의 심각성이 큰 만큼 패치 적용이 시급하다"고 말했다.
이에 대해 한국오라클 측도 최근 문제의 심각성을 인식, 고객들에게 제공된 패치를 서둘러 설치하거나 DB 보안 정책을 강화할 것을 주문했다. 한국오라클 서태진 DB보안담당 실장은 "패치를 설치하기 위한 버전으로 마이너 업그레이드를 하거나 일반계정 관리에 주의를 기울여줄 것"을 당부했다.
