Security Study/System Security

์ง€๋ฆ„๊ธธ์ธ ์ค„ ์•Œ์•˜๋˜ ๋งํฌ๊ฐ€ ์„œ๋ฒ„์˜ ์นธ๋ง‰์ด๋ฅผ ๋„˜์—ˆ๋‹ค — LiteSpeed cPanel ํ”Œ๋Ÿฌ๊ทธ์ธ ์‹ฌ๋ณผ๋ฆญ ๋งํฌ ๊ฒฐํ•จ CVE-2026-54420

๐“›๐“พ๐“ฌ๐“ฎ๐“ฝ๐“ฎ_๐“ข๐“ฝ๐“ฎ๐“ต๐“ต๐“ช 2026. 6. 18. 13:01
728x90
๋ฐ˜์‘ํ˜•
์ด๋ฏธ์ง€ ์ถœ์ฒ˜: CISA KEV

๊ณต์œ  ํ˜ธ์ŠคํŒ… ํ•œ ๋Œ€์—๋Š” ์ˆ˜์‹ญ, ๋งŽ๊ฒŒ๋Š” ์ˆ˜๋ฐฑ ๊ฐœ์˜ ๊ณ„์ •์ด ๊ฐ™์€ ๋””์Šคํฌ ์œ„์— ์–นํ˜€ ์‚ฐ๋‹ค. ๊ฐ ๊ณ„์ •์€ ์ž๊ธฐ ํ™ˆ ๋””๋ ‰ํ„ฐ๋ฆฌ ์•ˆ์—์„œ๋งŒ ์›€์ง์ด๋„๋ก ์นธ๋ง‰์ด๊ฐ€ ์ณ์ ธ ์žˆ๊ณ , ์ด ์นธ๋ง‰์ด๊ฐ€ ์ œ๋Œ€๋กœ ์„œ ์žˆ๋‹ค๋Š” ๋ฏฟ์Œ ์œ„์—์„œ ๋ชจ๋“  ์ž„์ฐจ์ธ์ด ์•ˆ์‹ฌํ•˜๊ณ  ์‚ฌ์ดํŠธ๋ฅผ ์šด์˜ํ•œ๋‹ค. ๊ทธ๋Ÿฐ๋ฐ ๊ทธ ์นธ๋ง‰์ด๋ฅผ ๋ฌด๋ ฅํ™”ํ•˜๋Š” ๊ฐ€์žฅ ์˜ค๋ž˜๋œ ์ˆ˜๋ฒ• ์ค‘ ํ•˜๋‚˜๊ฐ€ ๋ฐ”๋กœ ์‹ฌ๋ณผ๋ฆญ ๋งํฌ๋‹ค. ํŒŒ์ผ ํ•˜๋‚˜๊ฐ€ "๋‚˜๋Š” ์‚ฌ์‹ค ์ €์ชฝ ํŒŒ์ผ์ด์•ผ"๋ผ๊ณ  ๊ฐ€๋ฆฌํ‚ค๊ธฐ๋งŒ ํ•˜๋ฉด, ๊ทธ ๋งํฌ๋ฅผ ๋”ฐ๋ผ๊ฐ€๋Š” ๊ถŒํ•œ ๋†’์€ ํ”„๋กœ์„ธ์Šค๊ฐ€ ๊ฐ€์ง€ ๋ง์•„์•ผ ํ•  ๊ณณ๊นŒ์ง€ ๋ฐœ์„ ๋“ค์ด๊ฒŒ ๋˜๋Š” ๊ฒƒ์ด๋‹ค. CVE-2026-54420์€ LiteSpeed์˜ cPanel ํ”Œ๋Ÿฌ๊ทธ์ธ์ด ๋ฐ”๋กœ ์ด ๋งํฌ๋ฅผ ๋ฌด๋น„ํŒ์ ์œผ๋กœ ๋”ฐ๋ผ๊ฐ€๋ฉด์„œ ์ƒ๊ธด ๋ฌธ์ œ๋กœ ์ •๋ฆฌ๋œ๋‹ค.

ํ•ต์‹ฌ ์š”์•ฝ
  • ๋‚ฎ์€ ๊ถŒํ•œ์˜ ๊ณ„์ •์ด ๋งŒ๋“  ์‹ฌ๋ณผ๋ฆญ ๋งํฌ๋ฅผ, ๊ถŒํ•œ ๋†’์€ ํ”Œ๋Ÿฌ๊ทธ์ธ ํ”„๋กœ์„ธ์Šค๊ฐ€ ๊ทธ๋Œ€๋กœ ๋”ฐ๋ผ๊ฐ€๋ฉด์„œ ๊ณ„์ • ๊ฒฝ๊ณ„๋ฅผ ๋„˜๋Š” ํŒŒ์ผ ์ ‘๊ทผ์ด ๋ฐœ์ƒํ•  ์ˆ˜ ์žˆ์Œ
  • ํ•ต์‹ฌ ์œ„ํ—˜์€ ๋‹ค๋ฅธ ๊ณ„์ •·์‹œ์Šคํ…œ ํŒŒ์ผ์˜ ๋…ธ์ถœ ๋˜๋Š” ๋ณ€์กฐ์ด๋ฉฐ, ๊ณต์œ  ํ˜ธ์ŠคํŒ…์ฒ˜๋Ÿผ ํ•œ ํ˜ธ์ŠคํŠธ์— ๋‹ค์ˆ˜ ์‚ฌ์šฉ์ž๊ฐ€ ๊ณต์กดํ•˜๋Š” ํ™˜๊ฒฝ์—์„œ ํŠนํžˆ ์น˜๋ช…์ ์ž„
  • ๋ฐฉ์–ด๋Š” ํ”Œ๋Ÿฌ๊ทธ์ธ ์ตœ์‹ ํ™”, ์‹ฌ๋ณผ๋ฆญ ๋งํฌ ๋ณดํ˜ธ ์˜ต์…˜ ํ™œ์„ฑํ™”, ๋งํฌ ์ƒ์„ฑ·์ถ”์ ์— ๋Œ€ํ•œ ๋ชจ๋‹ˆํ„ฐ๋ง์ด๋ผ๋Š” ์„ธ ์ถ•์œผ๋กœ ์ ‘๊ทผํ•˜๋Š” ๊ฒƒ์ด ํ˜„์‹ค์ ์ž„

์‹ฌ๋ณผ๋ฆญ ๋งํฌ ๋”ฐ๋ผ๊ฐ€๊ธฐ, ์™œ ์œ„ํ—˜ํ•œ๊ฐ€

์‹ฌ๋ณผ๋ฆญ ๋งํฌ ์ž์ฒด๋Š” ์ •์ƒ์ ์ธ ์šด์˜์ฒด์ œ ๊ธฐ๋Šฅ์ž„. ๋ฌธ์ œ๊ฐ€ ๋˜๋Š” ์ง€์ ์€ "๋ˆ„๊ฐ€ ๋งŒ๋“  ๋งํฌ๋ฅผ, ๋ˆ„๊ฐ€ ์–ด๋–ค ๊ถŒํ•œ์œผ๋กœ ๋”ฐ๋ผ๊ฐ€๋А๋ƒ"์ž„. ์ผ๋ฐ˜ ์‚ฌ์šฉ์ž๋Š” ์ž๊ธฐ ๊ถŒํ•œ์œผ๋กœ๋งŒ ํŒŒ์ผ์„ ์ฝ๊ณ  ์“ธ ์ˆ˜ ์žˆ์ง€๋งŒ, ๋ฐฑ์—…·์บ์‹œ·๋กœ๊ทธ ์ฒ˜๋ฆฌ์ฒ˜๋Ÿผ ์‹œ์Šคํ…œ์„ ๋Œ€์‹  ์†๋ณด๋Š” ๋ณด์กฐ ํ”„๋กœ์„ธ์Šค๋Š” ํ”ํžˆ ๋” ๋†’์€ ๊ถŒํ•œ์œผ๋กœ ๋ˆ๋‹ค. ์ด๋•Œ ๋ณด์กฐ ํ”„๋กœ์„ธ์Šค๊ฐ€ ๊ฒฝ๋กœ ๋์— ๋†“์ธ ๋งํฌ์˜ ์ง„์งœ ๋ชฉ์ ์ง€๋ฅผ ํ™•์ธํ•˜์ง€ ์•Š๊ณ  ๊ทธ๋Œ€๋กœ open ํ•˜๋ฉด, ์‚ฌ์šฉ์ž๋Š” ์ž๊ธฐ ์†์ด ๋‹ฟ์ง€ ์•Š๋˜ ํŒŒ์ผ์„ ๊ทธ ํ”„๋กœ์„ธ์Šค์˜ ์†์„ ๋นŒ๋ ค ๊ฑด๋“œ๋ฆฌ๊ฒŒ ๋จ.

์ „ํ˜•์ ์ธ ํ๋ฆ„์€ ์ด๋ ‡๊ฒŒ ์š”์•ฝ๋จ. โ‘ ๊ณต๊ฒฉ์ž๊ฐ€ ์ž๊ธฐ ๊ณ„์ • ์•ˆ์— ํ‰๋ฒ”ํ•ด ๋ณด์ด๋Š” ํŒŒ์ผ์„ ๋‘๊ณ , ๊ทธ ํŒŒ์ผ์„ ์‹œ์Šคํ…œ ์˜์—ญ์˜ ๋ฏผ๊ฐํ•œ ํŒŒ์ผ๋กœ ํ–ฅํ•˜๋Š” ๋งํฌ๋กœ ๋ฐ”๊ฟ”์น˜๊ธฐํ•จ. โ‘ก๊ถŒํ•œ ๋†’์€ ํ”Œ๋Ÿฌ๊ทธ์ธ ์ž‘์—…์ด ํ•ด๋‹น ๊ฒฝ๋กœ๋ฅผ ์ฒ˜๋ฆฌํ•  ์ฐจ๋ก€๊ฐ€ ์˜ด. โ‘ขํ”„๋กœ์„ธ์Šค๊ฐ€ ๋งํฌ๋ฅผ ๋”ฐ๋ผ๊ฐ€ ์—‰๋šฑํ•œ ๋Œ€์ƒ์„ ์ฝ๊ฑฐ๋‚˜ ๋ฎ์–ด์”€. ์—ฌ๊ธฐ์—” ๊ฒ€์‚ฌ์™€ ์‚ฌ์šฉ ์‚ฌ์ด์˜ ์‹œ๊ฐ„ ํ‹ˆ์„ ๋…ธ๋ฆฌ๋Š” TOCTOU(Time-of-Check to Time-of-Use) ๊ฒฝ์Ÿ ์กฐ๊ฑด์ด ์„ž์ด๋Š” ๊ฒฝ์šฐ๊ฐ€ ๋งŽ์•„, ๋‹จ์ˆœํžˆ "๋งํฌ๋ฅผ ํ•œ ๋ฒˆ ๋ง‰๋Š”๋‹ค"๋กœ๋Š” ๊น”๋”ํ•˜๊ฒŒ ๋‹ซํžˆ์ง€ ์•Š๋Š” ๊นŒ๋‹ค๋กœ์›€์ด ์žˆ์Œ.

๋ฐฉ์–ด์ž ๊ด€์ ์—์„œ ๋ฌด์—‡์„ ๋จผ์ € ๋ณด๋‚˜

ํ•™์Šต ๋ชฉ์ ์ด๋“  ์šด์˜ ๋ชฉ์ ์ด๋“ , ์ด๋Ÿฐ ๋ถ€๋ฅ˜๋Š” ์ต์Šคํ”Œ๋กœ์ž‡ ์ฝ”๋“œ๋ฅผ ์™ธ์šฐ๋Š” ๊ฒƒ๋ณด๋‹ค ํƒ์ง€ ๊ฐ€๋Šฅํ•œ ํ”์ ์„ ์•„๋Š” ํŽธ์ด ํ›จ์”ฌ ์“ธ๋ชจ ์žˆ์Œ. ๊ฐœ์ธ์ ์œผ๋กœ๋Š” ๋‹ค์Œ ์ˆœ์„œ๋กœ ์ ๊ฒ€ํ•˜๊ธฐ๋ฅผ ์ถ”์ฒœํ•จ.

  • ํŒจ์น˜ ์šฐ์„ : ๊ฐ€์žฅ ํ™•์‹คํ•œ ์ฐจ๋‹จ์€ ํ”Œ๋Ÿฌ๊ทธ์ธ์„ ์ทจ์•ฝ์ ์ด ์ •๋ฆฌ๋œ ๋ฒ„์ „์œผ๋กœ ์˜ฌ๋ฆฌ๋Š” ๊ฒƒ. ๊ณต์œ  ํ˜ธ์ŠคํŒ… ์‚ฌ์—…์ž๋ผ๋ฉด ๋…ธ๋“œ ๋‹จ์œ„๋กœ ๋ฐฐํฌ ์ƒํƒœ๋ฅผ ํ•œ ๋ฒˆ์— ํ™•์ธํ•˜๋Š” ์ ˆ์ฐจ๋ฅผ ๊ฐ–์ถ”๋Š” ๊ฒŒ ์ข‹์Œ.
  • ์‹ฌ๋ณผ๋ฆญ ๋งํฌ ๋ณดํ˜ธ ํ™œ์„ฑํ™”: ์ปค๋„·์›น์„œ๋ฒ„ ๋‹จ์˜ ๋งํฌ ๋ณดํ˜ธ ๊ธฐ๋Šฅ์„ ์ผœ๋‘๋ฉด, ๋งํฌ ์†Œ์œ ์ž์™€ ๋”ฐ๋ผ๊ฐ€๋Š” ํ”„๋กœ์„ธ์Šค์˜ ์†Œ์œ ์ž๊ฐ€ ์–ด๊ธ‹๋‚  ๋•Œ ์ถ”์ ์„ ๊ฑฐ๋ถ€ํ•˜๋„๋ก ๋งŒ๋“ค ์ˆ˜ ์žˆ์Œ. ๊ณต์œ  ํ™˜๊ฒฝ์—์„œ๋Š” ์ด ์˜ต์…˜ ํ•˜๋‚˜๊ฐ€ ๊ด‘๋ฒ”์œ„ํ•œ ๋ณ€์ข…์„ ํ•œ๊บผ๋ฒˆ์— ๋ง‰์•„ ์คŒ.
  • ์ด์ƒํ•œ ๋งํฌ ๋ชจ๋‹ˆํ„ฐ๋ง: ์‚ฌ์šฉ์ž ํ™ˆ ๋ฐ‘์—์„œ ์‹œ์Šคํ…œ ๊ฒฝ๋กœ๋‚˜ ๋‹ค๋ฅธ ๊ณ„์ • ๊ฒฝ๋กœ๋ฅผ ๊ฐ€๋ฆฌํ‚ค๋Š” ์‹ฌ๋ณผ๋ฆญ ๋งํฌ๊ฐ€ ์ƒˆ๋กœ ์ƒ๊ธฐ๋Š”์ง€ ์ฃผ๊ธฐ์ ์œผ๋กœ ํ›‘๋Š” ๊ฒƒ. ํŒŒ์ผ ๋ฌด๊ฒฐ์„ฑ ๋ชจ๋‹ˆํ„ฐ๋ง ๋„๊ตฌ๋‚˜ ๊ฐ„๋‹จํ•œ ์ ๊ฒ€ ์Šคํฌ๋ฆฝํŠธ๋กœ๋„ "๋‚ด ์นธ๋ง‰์ด ๋ฐ–์„ ๊ฐ€๋ฆฌํ‚ค๋Š” ๋งํฌ"๋Š” ์ถฉ๋ถ„ํžˆ ์žก์•„๋‚ผ ์ˆ˜ ์žˆ์Œ.
  • ๋กœ๊ทธ ์ƒ๊ด€๋ถ„์„: ๊ถŒํ•œ ๋†’์€ ํ”Œ๋Ÿฌ๊ทธ์ธ ์ž‘์—…์˜ ์‹คํ–‰ ์‹œ์ ๊ณผ, ์ง์ „์— ๋ฐœ์ƒํ•œ ๋น„์ •์ƒ์  ๋งํฌ ์ƒ์„ฑ·๊ต์ฒด ์ด๋ฒคํŠธ๋ฅผ ์‹œ๊ฐ„์ถ•์œผ๋กœ ๋งž์ถฐ ๋ณด๋Š” ๊ฒƒ. ๊ฒฝ์Ÿ ์กฐ๊ฑด์„ฑ ๊ณต๊ฒฉ์€ ๋ณดํ†ต ์งง์€ ๊ฐ„๊ฒฉ์˜ ๋ฐ˜๋ณต ์‹œ๋„๋ผ๋Š” ํŒจํ„ด์„ ๋‚จ๊น€.

์žฌํ˜„์€ ๊ฐœ๋…๊นŒ์ง€๋งŒ, ์†์€ ๋ฐฉ์–ด์— ๋‘์ž

๊ณต๊ฒฉ ์žฌํ˜„์„ ์š•์‹ฌ๋‚ด๊ธฐ๋ณด๋‹ค, "๊ถŒํ•œ์ด ๋‹ค๋ฅธ ๋‘ ์ฃผ์ฒด๊ฐ€ ๊ฐ™์€ ๊ฒฝ๋กœ๋ฅผ ๊ณต์œ ํ•  ๋•Œ ์‹ ๋ขฐ๋Š” ์–ด๋””์„œ ๊นจ์ง€๋Š”๊ฐ€"๋ผ๋Š” ์งˆ๋ฌธ์„ ๋ถ™๋“ค๊ณ  ์žˆ์œผ๋ฉด ์ด ์œ ํ˜•์˜ ๊ฒฐํ•จ์ด ์ „๋ถ€ ๊ฐ™์€ ๊ฐ€์กฑ์ด๋ผ๋Š” ๊ฒŒ ๋ณด์ž„. ๋ฐฑ์—… ์†”๋ฃจ์…˜, ์บ์‹œ ์›Œ๋จธ, ๋กœ๊ทธ ๋กœํ…Œ์ดํ„ฐ์ฒ˜๋Ÿผ ์‚ฌ์šฉ์ž ๋””๋ ‰ํ„ฐ๋ฆฌ๋ฅผ ๋Œ€์‹  ์†๋ณด๋Š” ๋ชจ๋“  ๋ณด์กฐ ํ”„๋กœ์„ธ์Šค๊ฐ€ ์ž ์žฌ์  ํ›„๋ณด์ž„. ๊ทธ๋Ÿฌ๋‹ˆ ์ด๋ฒˆ CVE๋ฅผ LiteSpeed ํ”Œ๋Ÿฌ๊ทธ์ธ ํ•˜๋‚˜์˜ ์ด์•ผ๊ธฐ๋กœ๋งŒ ๋‹ซ์ง€ ๋ง๊ณ , ์šฐ๋ฆฌ ํ™˜๊ฒฝ์—์„œ ๋†’์€ ๊ถŒํ•œ์œผ๋กœ ์‚ฌ์šฉ์ž ํŒŒ์ผ์„ ๋งŒ์ง€๋Š” ์ž‘์—…์ด ๋˜ ์–ด๋”” ์žˆ๋‚˜๋ฅผ ์ ์–ด ๋‚ด๋ ค๊ฐ€ ๋ณด๊ธธ ๊ถŒํ•จ. ๊ทธ ๋ชฉ๋ก์ด ๊ณง ๋‹ค์Œ ์ ๊ฒ€ ๋Œ€์ƒ์ด ๋จ.

๊ณต์œ  ํ˜ธ์ŠคํŒ…์˜ ์นธ๋ง‰์ด๋Š” ํ•œ ๋ฒˆ ์„ธ์›Œ๋‘๋ฉด ๋๋‚˜๋Š” ๋ฒฝ์ด ์•„๋‹ˆ๋ผ, ๋งค ํŒจ์น˜๋งˆ๋‹ค ๋‹ค์‹œ ๋‹ค์ง€๋Š” ์‚ด์•„ ์žˆ๋Š” ๊ฒฝ๊ณ„๋ผ๋Š” ๊ฑธ ์ด๋ฒˆ์—๋„ ๋А๋‚€๋‹ค. ์—ฌ๋Ÿฌ๋ถ„ ์„œ๋ฒ„์˜ ๋งํฌ ๋ณดํ˜ธ ์˜ต์…˜์€ ์ง€๊ธˆ ์ผœ์ ธ ์žˆ๋‚˜์š”? ์ ๊ฒ€ํ•ด ๋ณด๊ณ , ๋ง‰ํžŒ ๋ถ€๋ถ„์ด๋‚˜ ๋” ์ข‹์€ ํƒ์ง€ ์•„์ด๋””์–ด๊ฐ€ ์žˆ์œผ๋ฉด ๋Œ“๊ธ€๋กœ ๊ฐ™์ด ๋‚˜๋ˆ  ๋ณด์•„์š”.

728x90
๋ฐ˜์‘ํ˜•