[지디넷코리아]보안 기업인 시큐니아에 의하면, 안티 바이러스 컴포넌트를 탑재하고 있는 일부 CA 제품에는 ‘코드에 본질적인 문제’가 있다. 이 회사는 보안 취약성에 대한 연차보고서를 14일 공개했다.

시큐니아가 지적한 CA 제품 중 하나는 ‘아크서브 백업(ARCserve Backup)’이다. 코드 기술이 불충분하다는 것이다.

시큐니아 최고기술책임자(CTO)인 토마스 크리스텐센은 15일 CNET News.com의 자매 사이트인 ZDNet UK에 “아크서브는 본질적으로 안전성에 문제가 있다”고 말했다. 그는 “이 제품은 불충분한 설계에 근거한 불충분한 코드로 만들어졌다. 제품을 릴리스 하기 전에 내부의 코드 리뷰에 대해 수정해야 할 코드의 문제를 밝혔어야 했다”고 지적했다.

CA는 ZDNet UK에 대한 성명에서 자사의 품질 보증 순서를 강화하고 있는 중이라고 해명했다.

CA는 성명에서 “CA는 소프트웨어의 보안을 매우 진지하게 파악하고 있다”며 “취약성이 발생하지 않게 하는 것과 동시에, 적극적으로 취약성을 밝혀 대책을 강구할 수 있도록 항상 노력하고 있다. 우리는 소프트웨어 품질을 확보하기 위해서 엄격한 수단을 강구하고 있으며 앞으로도 이러한 수단을 강화해 나갈 것”이라고 밝혔다.

시큐니아에 의하면 안티 바이러스 기능과 암호화 기능을 갖춘 CA의 데이터 보호 제품인 아크서브 백업은 2007년 6월에 여러 취약성이 있다고 보고된 바 있다. 공격자에게 시스템 침입을 허락하는 스택 기반의 버퍼 오버플로가 가능해지는 취약성도 포함돼 있었다.

시큐니아는 이러한 취약성이 CA에 보고되어 코드의 문제 몇 개를 수정하는 패치가 CA에 의해 릴리스 되었다고 밝혔다.

그러나 ‘시큐니아 2007 보고서(PDF 파일)’에 의하면 이 업체 기술자들이 패치 적용이 끝난 제품을 분석했더니 약 60개에 달하는 취약성이 여전히 존재하고 있는 것으로 나타났다.

시큐니아는 이러한 취약성의 일부는 제품의 코드 자체의 성질에 기인하는 것이어서 취약성은 여전히 남아 있다고 주장하고 있다.

보고서에는 “코드가 재검토되지 않는 이상 이 제품은 유사한 취약성의 위험을 안고 있다”고 쓰여져 있다.

크리스텐센은 1개의 제품 중에 60개에 달하는 취약성이 발견된 것에 “놀랐다”며 “패치가 적용된 제품, 더구나 보안 벤더가 출시한 것에 같은 취약성이 여전히 남아 있는 것이 더 놀라웠다”고 밝혔다.

그는 “보안 벤더의 패치가 적용된 제품에 취약성이 존재하고 있는 것은 기묘한 일”이라며 “백업용 제품은 시스템을 구성하는 모든 워크스테이션에 배치되는 것을 생각하면, 이러한 제품에 취약성이 존재하면 시스템이 보다 취약하게 되기 때문에 바람직한 상황이라고는 할 수 없다”고 지적했다.

CA는 아크서브 패치의 유효성에 대한 언급은 피했다.

보안 업체인 시만텍도 ‘시만텍 메일 시큐리티’에서 서드파티인 오토노미(Autonomy)가 개발한 키뷰(KeyView) 소프트웨어 개발 킷을 사용하고 있다며 시큐니아의 보고서에서 비판을 받았다.

시큐니아에 따르면 ‘시만텍 메일 시큐리티’에서 로터스 1-2-3 파일뷰어로 사용되고 있는 오토노미 키뷰에는 버퍼 오버플로 공격 취약성이 존재한다. 시큐니아가 (5단계 중 2번째로 높은) ‘매우 심각(highly critical)’으로 분류한 이 취약성이 공격 당하면 원격으로 임의의 코드가 실행될 우려가 있다.

시큐니아는 이 문제는 구랍 12일에 보고됐는데도 패치가 나오지 않았다고 지적했다. 크리스텐센은 시만텍의 문제는 패치 제공을 서드파티에 의존해야 하는 점이라고 밝혔다.

그는 “벤더는 기능을 추가하기 위해 서드파티로부터 소프트웨어를 구입한다. 키뷰의 문제는, 그것이 시만텍이 컨트롤 할 수 없는 서드파티의 소프트웨어라는 것이다. 시만텍은 다른 기업에 의지하지 않으면 업데이트 할 수 없는 것이다”라고 말했다.

그는 시만텍과 오토노미, 그리고 함께 영향을 받는 IBM과의 사이에 커뮤니케이션 채널이 제대로 확립되지 않은 것으로 보인다며 “IBM과 시만텍, 오토노미가 모두 같은 날에 패치를 릴리스 하는 것이 이상적”이라고 말했다. @