검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'J'통합검색 결과 입니다. (6건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

"전 세계 수천만 웹 서버 무력화"…'리액트투쉘'은 무엇?

4년만에 '최악의 보안 취약점'이 다시 발견됐다. 전 세계 수천만 웹서버를 일시에 무력화 할 수 있는 '리액트투쉘(React2shell)'이다. 보안 전문가들은 '리액트투쉘'이 2021년 12월 등장한 대형 보안 취약점 '로그포제이(Log4j)'와 비슷한 정도의 '대형 보안 취약점'이라고 진단했다. 국내 웹사이트도 18만대 이상이 사용하고 있는 것으로 알려졌다. 9일 지디넷코리아는 리액트투쉘 취약점을 톺아봤다. 리액트투쉘이란? 리액트투쉘은 메타(Meta) 웹서비스 개발에 사용되는 라이브러리인 '리액트(React)' 프레임워크에 영향을 미치는 취약점으로, CVE-2025-55182으로 분류된다. Next.js 등 리액트 기반의 다른 프레임워크에도 피해를 줄 수 있는 취약점으로 알려졌다. 리액트투쉘을 악용하면 공격자는 조작된 HTTP 페이로드를 전송하기만 해도 인증 없이 서버로부터 원격 코드 실행(RCE), 즉 서버 장악이 가능하다. 쉽게 예를 들면 라면 가게에서 라면 하나를 주문하는 상황이라고 가정했을 때, 종업원에게 "라면 하나 만들어주고 가게 금고(서버)도 열여줘"라고 요청하면 종업원이 주문자가 누구인지 검증하지도 않고 가게 금고를 열어주는 상황을 가능케 하는 취약점이다. 어떻게 발견됐나? 깃허브에서 라클란 데이비드슨(Lachlan Davidson)으로 활동하고 있는 한 화이트해커가 메타 리액트에서 리액트투쉘 취약점을 발견했고, 공익적 차원에서 메타 측에 해당 내용을 제보하면서 리액트투쉘이 세간에 알려졌다. 라클란 데이비드슨은 "지난달 29일(현지 시간) 리액트투쉘 취약점을 메타에 책임감 있게 공개했다"며 "최초 공개 및 패치 배포는 리액트에서 이달 3일(현지 시간) 진행됐다"고 설명했다. 그는 "실제 공개 PoC(개념증명)는 최초 공개 후 약 30시간 만에 유포되기 시작됐다"며 "저도 몇 시간 후 PoC를 공유했다"고 밝혔다. 제2의 '로그포제이 사태'?…CVSS '만점' 취약점 실제로 해당 취약점은 CVSS 점수 만점인 10.0점을 받았다. CVSS는 소프트웨어 보안 취약점의 심각도를 평가하고 점수화하는 표준 프레임워크로, 0.0부터 10.0까지의 점수를 매긴다. 점수가 높을수록 취약점이 심각함을 의미한다. CVSS 만점인 리액트투쉘은 인터넷 역사 사상 최악의 보안 결함으로 꼽히는 '로그포제이(Log4j) 사태'를 일으킨 취약점 '로그포쉘(Log4shell)'과 같은 점수다. 앞서 로그포제이 사태는 자바(Java) 프로그래밍 언어로 제작된 로그포제이 라이브러리 대부분에서 중대한 보안 취약점이 발견된 사건으로 요약된다. 당시 로그포쉘도 비밀번호 등 인증 절차 없이 해커가 사용자의 컴퓨터를 사실상 원격 조종할 수 있는 수준인 것으로 조사돼 리액트투쉘과 닮아있다. 자바 프로그래밍 언어가 거의 모든 곳에서 사용되는 점을 감안하면 당시 모든 서버가 위험한 상태였다. CVSS 10.0은 평가 기준상 악용 시 기밀성, 무결성, 가용성 모두에 완전한 영향을 주거나, 네트워크 접근, 권한 상승 없이도 공격이 가능한 경우다. 실제로 로그프레소 분석에 따르면 Next.js의 경우 기본 실행 상태에서도 익스플로잇(취약점 공격)이 가능할 정도로 공격이 쉬운 것으로 나타났다. 국내에서도 위기감은 감지된다. 로그프레소 측도 지난 5일 발표한 리액트투쉘 분석 보고서에서 "리액트투쉘은 로그포쉘에 비견될 정도로 심각하다"며 "CVSS 점수 10.0을 받아 매우 위중한 보안 위협으로 평가되고 있다"고 밝힌 바 있다. 또 엔키화이트햇에 따르면 리액트투쉘 발견 이후 중국 배후 해커 조직이 실전 공격을 진행한 것으로 알려졌다. "지금 당장 패치하라" 보안업계 경고 보안업계는 리액트 및 리액트 기반 라이브러리의 버전을 리액트투쉘 패치가 적용된 19.3.0 버전 이상으로 업데이트하라고 당부하고 있다. 한국인터넷진흥원(KISA)도 'React 서버 컴포넌트 보안 업데이트 권고' 공지를 통해 영향을 받는 버전을 사용 중인 사용자는 해결 방안에 따라 최신 버전으로 업데이트라하라고 권고하고 있다. 오펜시브 보안 기업들은 리액트투쉘 취약점에 영향을 받는지 직접 확인할 수 있는 스캐너 서비스를 오픈하고 있다. 오펜시브 보안 전문 기업 엔키화이트햇(대표 이성권)은 자사 올인원 오펜시브 보안 플랫폼 OFFen(오펜)에 'React2shell 취약점 스캐너'를 긴급히 추가했다. 티오리(Theori)도 국내외 웹서비스에 치명적 영향을 줄 수 있는 만큼 URL(인터넷주소) 입력 만으로 React2shell 취약점에 영향을 받는지 즉시 진단할 수 있는 사이트를 공개했다. 이용준 극동대 해킹보안학과 교수는 "리액트투쉘은 굉장히 심각한 상황"이라고 강조하며 "해커가 웹사이트 계정 탈취, 네트워크 스캐닝 등 다양한 공격이 가능하다. 국내 웹사이트 18만대 이상이 사용하고 있어 피해가 심각할 수 있다"고 설명했다. 이 교수는 "React, Next.js 등 영향권 내 라이브러리를 전수조사해 최신 버전 패치가 적용될 수 있도록 신속히 조치돼야 한다"며 "기업이 당장 할 수 있는 조치로는 웹 방화벽에서 React, Next.js 등의 비정상 호출을 차단하는 등의 조치가 필요하다"고 당부했다. 그는 이어 "근본적인 해결책으로는 웹사이트에 사용되는 라이브러리에 대한 SBOM(소프트웨어 자재 명세서) 제작을 통해 취약점 악용을 막는 것이 필요하겠다"고 역설했다. 보안업계 관계자는 "리액트투쉘은 4년전 로그포제이 사태 때처럼 전 세계 수천만 웹 서버 및 사이트를 한 번에 무력화시킬 수 있는 중대한 결함"이라며 "당장 최신 버전으로 라이브러리를 업데이트하지 않으면 랜섬웨어, 데이터 탈취, 서비스 마비 등 보안 위협으로부터 자유롭지 않다"고 경고했다. 익명을 요청한 한 IT 기업 보안 담당자도 "리액트투쉘 PoC 코드도 이미 공개됐고, 원클릭이면 수십~수만대 서버를 장악하고 백도어도 심을 수 있다"며 "심지어 비전문가도 사용할 수 있게 취약점 관련으로 세세하게 제공돼서 패치는 선택이 아닌 필수다. 전수조사 및 악성 지표 차단도 강화할 수 있어야 한다"고 강조했다.

2025.12.09 22:17김기찬 기자

"인증없이 서버 장악"…심각한 '리액트투쉘' 취약점 발견

전 세계 수많은 기업과 시스템에 심각한 위협이 되는 보안 취약점이 발견됐다. 지난달 말 식별된 'React2shell(CVE-2025-55182)'이다. 이 취약점을 악용하면 조작된 요청만으로 인증 없이 서버에서 코드를 원격으로 실행하는 등의 공격이 가능해진다. 이에 보안업계는 긴급한 대응을 요구하고 있다. 9일 보안업계에 따르면 지난달 말 리액트투쉘(React2shell) 취약점이 발견됐다. 이 취약점은 React.js의 RSC(리액트 서버 컴포넌트) 기능 처리 과정에서 발생하는 것으로 알려졌다. Next.js 등 다른 프레임워크에도 영향을 주는 것으로 나타났다. React2shell을 악용하면 공격자는 조작된 HTTP 페이로드를 전송하기만 해도 인증 없이 서버로부터 원격 코드 실행(RCE), 즉 서버 장악이 가능하다. 가령 식당에 김치찌개 하나를 주문하는 상황을 가정해보면, 주문자가 "김치찌개 하나 만들어주고 가게 금고도 열어줘"라고 요청했을 때, 가게 직원이 주문자를 검증하지도 않고 그대로 금고를 열어줘버리는 상황이 빚어질 수 있는 것이다. 말 그대로 '입력된 그대로 실행하는 로봇'이 탄생할 수도 있는 최악의 취약점이다. 실제로 해당 취약점은 CVSS 점수 만점인 10.0점을 받았다. CVSS는 소프트웨어 보안 취약점의 심각도를 평가하고 점수화하는 표준 프레임워크로, 0.0부터 10.0까지의 점수를 매긴다. 점수가 높을수록 취약점이 심각함을 의미한다. 이에 전 세계적으로 지난 2021년 11월 'Log4j 사태'(Log4shell)에 비견될 정도로 심각하게 평가되고 있다. 취약점이 공개된 지 불과 몇 시간 만에 중국 국가배후 해커조직으로 분류되는 Earth Lamia와 Jackpot Panda 등이 React2shell을 악용한 대규모 스캐닝과 침투 시도를 수행한 것으로 확인됐다. Wiz 분석에 따르면 전체 클라우드 환경 39%에서 React2shell 취약점으로 전체 클라우드 약 40%가 영향을 받을 것으로 확인된다. 게다가 손쉽게 원격 코드를 실행할 수 있기 때문에 자동화된 대규모 공격에 대한 우려도 나온다. 이에 국내 보안업계에서도 긴급 대응에 나섰다. 신속한 최신 패치 적용을 당부하고, React2shell 취약점을 자체 진단할 수 있는 사이트를 열어두기도 했다. 우선 오펜시브 보안 전문 기업 엔키화이트햇(대표 이성권)은 자사 올인원 오펜시브 보안 플랫폼 OFFen(오펜)에 'React2shell 취약점 스캐너'를 긴급히 추가했다. 아울러 공격 표면 관리(ASM) 긴급 스캐너 서비스를 열어 스캔 버튼만 누르면 취약점 노출 여부를 파악할 수 있는 사이트도 공개했다. 티오리(Theori)도 국내외 웹서비스에 치명적 영향을 줄 수 있는 만큼 URL(인터넷주소) 입력 만으로 React2shell 취약점에 영향을 받는지 즉시 진단할 수 있는 사이트를 공개했다. 티오리의 '인공지능(AI) 레드팀'으로 불리는 'Xint(진트)' 솔루션 기반의 취약점 스캐너 사이트다. 기자가 직접 티오리 취약점 스캐너 사이트에 접속해 지디넷코리아 홈페이지를 입력하니 'Done'으로 표시되며 안전한 것으로 확인됐다. 이처럼 스캔할 URL을 입력하고 간단하게 React2shell의 영향을 받는지 확인할 수 있어 유출 방지를 위한 기업들의 빠른 조치가 필요하다. 한국인터넷진흥원(KISA)도 최근 React2shell 취약점에 대한 빠른 보안 업데이트를 권고하며 대응에 나서고 있다. 아울러 침해사고 발생 시 신속하게 신고를 해 달라고 요청했다. 이용준 극동대 해킹보안학과 교수는 "웹서비스 개발에 사용되는 메타(Meta)가 개발한 자바스크립트 라이브러리이자 오픈소스인 React, Next.js 취약점이다"라며 "이 취약점을 악용하면 해커가 웹사이트 계정 탈취, 네트워크 스캐닝 등 다양한 공격이 가능하다. 국내 웹사이트 18만대 이상이 이 라이브러리를 사용하는 것으로 파악되는데, 이 경우 피해가 굉장히 심각할 수 있다"고 경고했다. 그는 이어 "해당 라이브러리를 전수조사해 최신 버전 패치가 적용될 수 있도록 신속히 조치돼야 한다"며 "기업이 당장 할 수 있는 조치로는 웹 방화벽에서 React, Next.js 등의 비정상 호출을 차단하는 등의 조치가 필요하다"고 당부했다. 이 외에도 근본적인 취약점 원인 해결을 위해 웹사이트에 사용되는 라이브러리에 대한 SBOM(소프트웨어 자재 명세서) 제작을 통해 취약점 악용을 막아야 한다고 부연했다.

2025.12.09 16:11김기찬 기자

中, J-20 스텔스 전투기 일반 대중에 공개

중국 인민해방군 공군이 5세대 스텔스 전투기 J-20을 최초로 공개한다고 과학전문매체 인터레스팅엔지니어링이 최근 보도했다. 이 전투기는 오는 19일부터 23일까지 중국 지린성 창춘에서 열리는 특별 행사에서 대중에 공개될 예정이다. 이번 행사는 올해 9월 중국이 제2차 세계대전 중 일본의 점령으로부터 해방 된지 80주년을 맞아 열리는 행사다. 지금까지 '위대한 용'이라는 별칭으로 알려진 J-20 스텔스 전투기는 공중 비행 시범을 통해 잠시 공개됐을 뿐, 일반 대중이 가까이서 볼 기회는 없었다. 하지만, 이번에는 전시를 통해 관람객들이 전투기의 실제 모습을 확인할 수 있을 예정이다. 또, 이번 행사에서는 비행 시뮬레이터, 드론 조종, 낙하산 점프 등 몰입형 체험 공간을 마련할 것이라고 장샤오강 중국 국방부 대변인은 밝혔다. 이 소식은 중국이 J-20 전투기에 대해 점점 더 개방적이고 자신감 있는 모습을 보여주는 것이라고 외신들은 전했다. 이번 행사에서 방문객들을 위해 중국 최초의 폭격기 편대 저공 비행을 포함한 다양한 공중 시범이 계획돼 있다. 보도에 따르면 J-20은 현재 양산 중으로 중국은 200대 이상의 운용 기체를 보유 중이다. J-20은 신형 WS-15 엔진을 탑재해 애프터버너 없이 초음속 비행이 가능한 '슈퍼크루즈' 기능을 갖췄다. 중국은 J-20의 2인승 모델을 공개했는데, 이 모델은 새로운 전자광학 센서 시스템, 개선된 도색 등을 특징으로 한다. 이 항공기는 이미 운용 중이거나 배치 직전에 있을 것으로 전해지고 있다. 구체적인 내용은 기밀이지만, J-20은 드론과 네트워크로 연결되도록 설계됐다. 중국 J-20은 미국의 F-22 랩터와 F-35 라이트닝 II, 러시아의 수호이 Su-57에 대한 중국의 대응책으로 평가되고 있다. 이번 전시는 중국 국민에게 스텔스 제트기를 엿볼 수 있는 기회를 제공하는 것 외에도 국제 파트너사와 경쟁자들에게도 전략적 메시지를 전달할 예정이다.

2025.09.03 11:22이정현 기자

日, 반도체 패키징 경쟁력 확보 시동…30여개 기업 손 잡았다

일본 OSAT(반도체외주패키징테스트) 기업들이 시장 경쟁력 강화를 위해 뜻을 모았다. 데이터 공유, 보조금 확보 등을 공동으로 추진해 반도체 패키징 시장의 경쟁력을 빠르게 끌어 올리겠다는 전략이다. 11일 닛케이아시아는 일본 후공정 업계 최초로 결성된 'J-OSAT' 연합회에 약 30여개의 기업이 참여하고 있다고 보도했다. OSAT는 반도체 후공정을 담당하는 기업이다. 종합반도체기업(IDM), 파운드리 등이 전공정 처리를 끝낸 반도체를 수주받아 패키징, 테스트 등을 대신 수행해주는 업무를 맡고 있다. 후공정은 반도체 업계에서 점차 중요성이 높아지는 추세다. 기존 업계는 전공정 영역에서 회로의 선폭을 줄여 반도체 성능을 끌여 올렸으나, 선폭이 10나노미터(nm) 이하까지 좁아지면서 기술적 진보에 많은 어려움을 겪어 왔다. 후공정은 이를 대신해 칩 성능을 높일 기술로 각광받고 있다. 2.5D나 3D 패키징, 칩렛 등 최첨단 패키징이 대표적인 사례다. 다만 OSAT 업계는 미국 앰코(Amkor), 중국 JCET, 대만 ASE 3개 기업이 사실상 시장을 주도하고 있다. 일본 기업은 상위 10대 기업 중 한 곳도 없다. 이에 일본 산업계는 지난 4월 J-OSAT 협회를 결성하고, 약 30여개 회원사와 본격적인 협업을 추진하기 시작했다. 닛케아시아는 "J-OSAT 설립 이전에는 정보 공유의 장이 없어, 관련 기업의 80%가 중소기업인 일본 후공정 업계에 대한 기본적인 정보가 알려지지 않았다"며 "이제 일본 후공정 생산능력이 월 11억 대를 넘는다는 것이 명확해졌고, 공급량의 40%는 자동차, 40%는 기계산업, 20%는 소비재 부문이 차지하고 있다"고 설명했다. J-OSAT는 자동화, 생산 데이터 공유, 인력 개발 등 총 5개 분야에 초점을 맞춰 활동을 펼칠 계획이다. 또한 고성능 장비 교체를 위해 일본 정부에 보조금을 요청하는 방안도 고려하고 있다. J-OSAT의 초대 회장인 마코토 스미타는 "반도체 전공정에는 약 1조엔(한화 약 9조3천억원)의 투자가 필요하지만, 후공정에는 100억엔 혹은 200억엔으로도 많은 것을 할 수 있다"며 "일본 기업들이 최첨단 장비를 도입하면 생산비용을 20%까지 절감할 수 있다"고 말했다.

2025.07.12 14:52장경윤 기자

"메타도 찜 했다"…150억 달러 모은 데이터브릭스, AI 주도권 확보 위해 투자 가속

데이터브릭스가 시리즈 J 투자 유치를 최종 마무리하며 기업 가치 620억 달러(약 89조2천억원)를 인정 받았다. 지금까지 끌어들인 자금을 토대로 인공지능(AI) 신제품 개발과 인수합병, 글로벌 시장 진출 확대 등에 속도를 내 외형 확장에 본격 나선다는 방침이다. 데이터브릭스는 이번 투자에 기존 투자자인 카타르 투자청(QIA)과 신규 투자자인 테마섹(Temasek), 맥쿼리 캐피탈(Macquarie Capital)이 관리하는 기관들이 참여했다고 23일 밝혔다. 또 메타(Meta)도 이번에 새로운 전략적 투자자로 합류했다. 데이터브릭스는 이번에 유치한 자금을 바탕으로 사업 경쟁력 강화에 나서는 한편, 전·현직 직원에게 유동성을 제공하고 관련 세금 납부에도 활용할 방침이다. 데이터브릭스는 그동안 세계적인 투자자들로부터 100억 달러(약 14조3천억원) 규모의 투자를 유치했다. 또 JP모건 체이스(JPMorgan Chase), 바클리스(Barclays), 씨티(Citi), 골드만삭스(Goldman Sachs), 모건스탠리(Morgan Stanley)가 주도하고 주요 금융 기관 및 대체 자산 운용사가 참여한 52억5천만 달러 규모의 신용편의(credit facility) 계약도 체결했다. 이 계약에는 25억 달러 규모의 미사용 신용 한도(unfunded revolver)와 27억5천만 달러의 기간 대출(term loan)이 포함된다. 알리 고드시 데이터브릭스 공동창립자 겸 최고경영자(CEO)는 "이번 투자 라운드는 우리의 비전과 시장 영향력을 신뢰하는 기존 및 신규 투자자, 전략적 파트너들의 뜨거운 관심 속에 성공적으로 마무리됐다"며 "이들은 우리의 장기적인 성장 가능성과 빠르게 확대되고 있는 고객 기반에 주목하고 있다"고 말했다. 이어 "기업들은 생성형 AI의 탁월한 잠재력을 인식하고 데이터와 AI 인프라를 현대화하는 데 집중하고 있다"며 "데이터 인텔리전스는 이러한 잠재력을 실현하고 기업들이 비즈니스 목표를 달성하는 데 핵심적인 역할을 할 것"이라고 강조했다. 데이터브릭스 데이터 인텔리전스 플랫폼은 데이터와 AI를 보편화해 기업들이 데이터 분석, 머신러닝, 에이전틱 AI 애플리케이션(agentic AI applications)을 보다 쉽게 활용할 수 있도록 지원한다. 또 개방형 데이터 형식과 표준을 기반으로 구축돼 비용과 리스크를 더욱 정확하게 관리할 수 있도록 지원한다. 고객들은 데이터 인텔리전스 플랫폼을 활용해 질병 및 암 조기 발견, 기후 변화 대응책 마련, 금융 사기 탐지, 신약 개발 가속화, 정신 건강 개입에 소요되는 시간 단축 등 다양한 분야에서 혁신적인 성과를 달성하고 있다. 모하메드 사이프 알 소와이디 QIA CEO는 "이번 후속 투자는 데이터브릭스의 리더십과 전략적 입지에 대한 깊은 신뢰를 바탕으로 이루어졌다"며 "우리는 AI 생태계 전반에 대한 투자를 확대하고 있고, 데이터브릭스가 AI 인프라 소프트웨어 분야에서 선도적인 플랫폼으로 자리매김했다고 확신한다"고 밝혔다.

2025.01.23 15:10장유미 기자

"의자 밑도 꼼꼼히 청소"…라이노스, 청소로봇 기능 강화

서비스로봇 전문기업 라이노스는 자사 AI 청소로봇 '휠리 J30'에 식탁과 의자의 다리 사이를 민첩하게 주행하는 기술인 '휘돌이 주행' 모드를 추가했다고 8일 밝혔다. 라이노스는 '휠리 J30'에 전면 접촉 센서 1열을 추가해 민감한 장애물 감지가 가능하도록 했다. 또한 측면 2D 라이다 센서의 소프트웨어 업데이트를 통해 보다 향상된 탐지 각도로 더 세밀한 위치 인식이 가능하도록 성능을 고도화했다. 라이노스는 최근 국내 초대형 카페테리아에 '휠리 J30' 38대를 공급하는 계약을 체결했다. 로봇의 전고가 35cm에 불과해 의자 아래로 들어가 청소가 용이한 점이 장점으로 작용했다는 설명이다. 로봇은 장애물이 없는 넓은 공간에서 지그재그나 나선형 패턴으로 효율적인 청소하다가, 식탁과 의자 다리를 만나면 휘돌이 주행 모드로 전환한다. 이전보다 민감한 장애물 감지과 세밀한 위치 인식이 가능해졌다. 해당 카페테리아에서는 다수의 로봇을 구역별로 배치해 동시에 청소를 수행하도록 설계했다. 라이노스는 이를 위해 실시간으로 다수의 '휠리 J30'을 모니터링하고 제어할 수 있는 클라우드 관제 시스템을 제공했다. 고객사는 청소 작업을 한눈에 파악하고 효율적으로 관리할 수 있다. 또한 현장에 맞게 청소 로봇을 쉽게 추가·연동할 수 있도록 애플리케이션 프로그램 인터페이스(API)도 지원한다. 이상락 라이노스 대표는 "이번에 공급 계약을 체결한 국내 초대형 카페테리아의 청소 요구사항을 반영해 지난 1년간 연구개발을 진행한 끝에 '휘돌이 주행' 기술 개발에 성공했다"고 밝혔다. 이동엽 라이노스 연구소장은 "복잡한 환경에서도 완벽한 청소를 구현하는 상업용 청소 로봇의 새로운 기준을 제시했다"며 "초대형 카페테리아와 대형 식당의 청소 작업을 혁신할 스마트한 솔루션이 될 것"이라고 밝혔다.

2025.01.08 18:30신영빈 기자