전자정부 표준프레임워크 취약점 990개, 관공서 사이트도 위험하다

국내 정부와 공공·민간 시스템 통합(SI) 프로젝트에서 표준처럼 쓰이는 ‘전자정부 표준프레임워크(eGovFrame)’에서 치명적인 전자정부 표준프레임워크 취약점 990건이 무더기로 발견됐습니다. 국내 보안 이니셔티브 ‘프로젝트 캐노피(Project Canopy)’가 지난 7월 14일 공개한 첫 분석 결과로, 인증 우회부터 임의 SQL 실행까지 실제 악용 가능한 결함이 다수 포함돼 있어 파장이 예상됩니다.

전자정부 표준프레임워크 취약점, 무엇이 얼마나 발견됐나

프로젝트 캐노피는 지난 6월 17일 공식 출범한 공익 AI 보안 이니셔티브로, 미국의 오픈소스 보안 프로젝트 ‘글래스윙’을 본뜬 한국판 성격을 갖고 있습니다. 캐노피는 첫 분석 대상으로 전자정부 표준프레임워크를 골랐습니다. 이 프레임워크는 행정안전부가 배포하는 공공 소프트웨어 개발 표준 틀로, 국내 수많은 공공기관·지자체·민간 SI 프로젝트가 시스템을 만들 때 기본 뼈대로 가져다 씁니다.

캐노피는 AI 기반 자동화 취약점 분석 엔진을 프레임워크의 공통 컴포넌트 전체(기존 모놀리식 방식과 신규 MSA 방식 모두)에 돌렸습니다. 1차로 탐지된 후보군은 1,300여 건이었고, 이 중 중복·오탐을 정제 시스템으로 걸러낸 뒤 최종적으로 990건을 실제 위협으로 확인했습니다. 이 가운데 10%는 ‘심각(Critical)’ 또는 ‘높음(High)’ 등급에 해당합니다.

표로 보는 주요 전자정부 표준프레임워크 취약점 유형

네 가지 유형 모두 공격자가 정상 인증 절차나 권한 체계를 건너뛰고 시스템 안쪽까지 들어갈 수 있다는 공통점이 있습니다. 특히 인증 우회는 별다른 사전 정보 없이도 시도할 수 있어 위험도가 높게 평가됩니다.

왜 유독 이 프레임워크가 위험한가

일반적인 오픈소스 라이브러리는 새 버전이 나오면 한 줄 선언만 바꿔도 업데이트가 적용됩니다. 하지만 전자정부 표준프레임워크는 소스 코드 자체를 복사해서 각 시스템에 심는 ‘템플릿’ 구조입니다. 이 때문에 원본에서 취약점이 패치돼도 이미 복사해 간 수많은 개별 시스템에는 그 수정 사항이 자동으로 전달되지 않는 ‘패치 고립’ 현상이 발생하기 쉽습니다.

문제는 이 프레임워크의 복제 코드가 국내 공공·민간 시스템 전반에 광범위하게 퍼져 있다는 점입니다. 캐노피 측은 내부 취약점 하나가 단일 사이트만의 문제로 끝나지 않고, 이를 기반으로 만들어진 수많은 다운스트림 시스템 전체의 잠재적 위협으로 이어질 수 있다고 지적했습니다. 평소 이용하는 관공서·공공기관 웹사이트가 이 프레임워크 기반으로 만들어졌다면, 눈에 보이지 않는 곳에서 이런 위험을 안고 있을 가능성이 있다는 뜻입니다.

시스템 운영자가 지금 확인해야 할 것들

전자정부 표준프레임워크로 시스템을 운영 중이거나 이를 기반으로 개발한 이력이 있다면 아래 항목을 점검해볼 필요가 있습니다.

• 사용 중인 프레임워크 버전과 최신 패치 반영 여부 확인하기. 캐노피에 공식 제보된 취약점은 관련 기관이 순차적으로 패치해 최신 브랜치에 반영하고 있는 만큼, 최신 버전으로 갱신됐는지부터 점검해야 합니다.
• 인증·권한 처리 구간 코드 재점검하기. 이번에 지적된 인증 우회, IDOR 같은 취약점은 로그인·권한 검증 로직에서 자주 발생하므로, 해당 구간을 우선순위로 검토하는 게 효율적입니다.
• 고정된 암호키·시크릿 값 사용 여부 확인하기. 소스를 복사해 쓰는 구조상 예제 코드에 있던 고정 키 값을 그대로 운영 환경에 남겨두는 경우가 흔합니다.
• 프로젝트 캐노피 파트너십 참여 검토하기. 캐노피는 조치 대기 중인 잔여 취약점 정보와 적용된 패치 정보를 파트너 기관에 선제 제공한다고 밝혔습니다. 공공·민간 시스템을 운영하는 기관이라면 참여를 검토해볼 만합니다.

Q&A로 정리하는 전자정부 표준프레임워크 취약점

Q. 일반 이용자도 당장 개인정보가 새어 나가나요?
이번 발표는 프레임워크 자체의 구조적 결함을 찾아낸 것으로, 특정 사이트의 실제 침해나 유출 사고가 확인된 것은 아닙니다. 다만 이 프레임워크를 쓰는 개별 시스템 중 패치가 늦은 곳이 있다면 향후 악용될 가능성은 남아 있습니다.

Q. 정부의 공식 대응은 나왔나요?
현재까지 행정안전부 등 소관 부처의 별도 공식 입장은 확인되지 않았습니다. 캐노피 측은 관련 기관들이 공식 제보된 취약점을 순차적으로 패치하고 있다고만 밝힌 상태입니다.

Q. 이 취약점은 누구나 악용할 수 있나요?
캐노피가 공개한 정보는 취약점의 유형과 개수 등 요약 수준이며, 구체적인 악용 코드나 공격 절차는 공개되지 않았습니다. 세부 정보는 검증된 파트너 기관에만 선제 제공됩니다.

시사점

이번 사례가 눈에 띄는 이유는 특정 기업 하나가 뚫린 사고가 아니라, 국내 공공 소프트웨어 생태계 전체가 공유하는 ‘뼈대’에서 결함이 발견됐다는 점입니다. 단일 기업의 유출 사고는 그 기업만 조치하면 되지만, 표준 프레임워크의 취약점은 이를 가져다 쓴 모든 기관이 각자 알아서 패치해야 한다는 점에서 대응 속도가 훨씬 더딜 수밖에 없습니다.

특히 이런 ‘패치 고립’ 구조는 국내에만 있는 문제가 아닙니다. 공공기관이 표준 프레임워크나 공통 컴포넌트를 복제해 쓰는 방식은 개발 효율은 높이지만, 보안 패치의 전파 속도를 늦추는 구조적 부작용을 동반합니다. 공공 SI 프로젝트에 관여하는 기업이라면 이번 기회에 자사가 관리하는 시스템이 어떤 오픈소스·프레임워크를 기반으로 하고 있는지, 그리고 그 원본에서 나온 보안 패치가 실제로 우리 시스템까지 전파되고 있는지를 한 번 점검해볼 필요가 있습니다.

캐노피는 전자정부 표준프레임워크를 시작으로 국내외에서 널리 쓰이는 다른 오픈소스 소프트웨어도 정기적으로 분석할 계획이라고 밝힌 상태입니다. 공공·민간을 가리지 않고 널리 쓰이는 소프트웨어일수록 다음 분석 대상이 될 가능성이 크므로, 관련 업계라면 이후 발표에도 계속 관심을 가져볼 만합니다.

출처

• 프로젝트 캐노피, 전자정부 표준프레임워크 보안 분석 결과 발표
• 캐노피 “전자정부 표준프레임워크서 치명적 취약점 990건 발견”