롯데카드 해킹 CVE-2017-10271 취약점 점검 스크립트

CVE-2017-10271은 Oracle WebLogic Server의 WLS Security 컴포넌트에서 발견된 심각한 취약점으로, 원격 코드 실행(RCE)을 허용합니다. 2017년 발견 이후 실제 공격에 광범위하게 악용된 취약점입니다. 이 글에서는 취약점의 원리, 영향 범위, 그리고 패치 방법을 설명합니다.

취약점 개요

• CVE ID: CVE-2017-10271
• 영향 제품: Oracle WebLogic Server 10.3.6.0, 12.1.3.0, 12.2.1.1, 12.2.1.2
• CVSS 점수: 7.5 (High)
• 공격 유형: 원격 코드 실행 (Remote Code Execution)
• 인증 필요 여부: 불필요 (비인증 공격 가능)

취약점 원리

이 취약점은 WebLogic의 WLS Security 컴포넌트가 XML 데이터를 처리하는 방식의 결함에서 발생합니다. 공격자는 특별히 조작된 XML 요청을 WebLogic 서버의 7001 포트(HTTP)로 전송하여 서버 측에서 임의의 코드를 실행할 수 있습니다.

구체적으로는 Java 역직렬화(deserialization) 취약점의 일종으로, WorkContext 객체를 처리하는 과정에서 입력값 검증이 미흡하여 발생합니다.

영향 및 피해 사례

CVE-2017-10271은 발견 직후부터 실제 공격에 적극 활용되었습니다. 주요 피해 사례로는 암호화폐 채굴 악성코드 배포, 랜섬웨어 감염, 내부 네트워크 침투 등이 보고되었습니다. 국내에서도 금융권과 공공기관의 WebLogic 서버가 이 취약점을 통해 침해된 사례가 있습니다.

취약점 확인 방법 (자체 시스템 점검)

운영 중인 WebLogic 서버가 취약한지 확인하려면 다음을 점검하세요.

• WebLogic 버전 확인: 관리 콘솔 → 도움말 → 제품 버전
• 패치 적용 여부: Oracle 패치 번호 PSU 2018-01 이상 적용 여부 확인
• 7001 포트 외부 노출 여부: 불필요한 경우 방화벽으로 차단 권장

패치 및 조치 방법

Oracle은 이 취약점에 대한 공식 패치를 제공했습니다. 즉시 적용을 권장합니다.

• 공식 패치: Oracle Critical Patch Update (CPU) 2018년 1월 버전 이상 적용
• 임시 조치: 외부에서 7001 포트 접근을 방화벽으로 차단
• T3 프로토콜 비활성화: 필요하지 않은 경우 T3 프로토콜 비활성화로 공격 표면 축소
• WebLogic 업그레이드: 패치된 최신 버전으로 업그레이드 권장

자세한 패치 정보는 Oracle 보안 공지에서 확인할 수 있습니다.

마치며

CVE-2017-10271은 발견된 지 수년이 지났지만 여전히 패치가 적용되지 않은 레거시 시스템에서 공격에 악용되고 있습니다. WebLogic을 운영 중이라면 반드시 최신 보안 패치를 적용하고, 불필요한 포트는 차단하여 공격 표면을 최소화하세요.