글로벌 IT기업 SW 보안 취약성 급증… 어떤 기업이 제일 많나

CVE디테일, 작년 보안 취약점 분석

오라클·구글·어도비 등 글로벌 IT업체의 제품 보안 취약성이 크게 증가한 것으로 나타났다.

8일 보안 취약점 분석 사이트 'CVE디테일(CVE Details)'에 따르면 지난해 오라클·구글·어도비 3개 기업의 제품에서 가장 많은 보안 취약점이 발견됐다. 마이크로소프트(MS)는 취약점 492개로 4위, IBM은 382개로 6위, 시스코는 353개로 7위를 차지하며 10위권 내에 들었다.

우선 오라클은 지난해 제품 보안 취약점 수가 793개로 2015년(605개)과 비교해 188개 증가해 IT기업 중 가장 높았다. 오라클은 2015년을 제외하고 2012년부터 올해까지 기업 중 가장 많은 보안 취약점을 갖고 있는 것으로 나타났다. 2015년 가장 많은 취약점이 발견된 기업은 애플(708개)이었으나, 지난해에는 324개로 크게 감소, 8위로 순위가 내려갔다. 오라클 제품군 가운데, 오라클리눅스에서 111개, 오픈소스 데이터베이스관리시스템(DBMS)인 My-SQL에서 100개, 유닉스 운영체제(OS) 솔라리스에서 74개의 취약점이 발견됐다. 폴란드 보안전문가인 다위드 골룬스키는 지난해 My-SQL에서 해커가 원격으로 my.cnf 환경설정 파일을 조작해 루트 권한을 탈취하고 서버를 장악할 수 있는 취약점(CVE-2016-6662)을 발견하며 사용자 주의를 요구하기도 했다.

구글은 지난해 698개(크롬과 안드로이드 중복 취약점 제외)의 취약점이 발견, 2015년 318개와 비교해 380개나 많아져 세 기업 중 가장 높은 증가세를 보였다. 순위도 2015년 6위에서 2위로 높아져 경쟁기업 애플과는 반대의 상황을 연출했다. 구글 웹 브라우저 크롬의 경우 지난해 발견된 취약점 수가 172개로 2015년(187개) 대비 소폭 감소했지만, 모바일 OS인 안드로이드가 2015년 125개에서 지난해 523개로 급증한 데 따른 것이다.

특히 보안업체 체크포인트는 퀄컴 칩을 탑재한 안드로이드폰의 써드파트 앱 차단 기능을 해제, 악성코드 앱을 설치하고 루트 권한을 탈취할 수 있는 취약점 4개(CVE-2016-2059 등 4개)를 발견했으나, 구글은 이 취약점 수정에 미적거려 논란이 됐다.

어도비는 지난해 548개의 취약점이 발견되며 2015년(483개) 대비 소폭 상승했다. 어도비 취약점 대부분은 플래시 플레이어(266개)와 PDF뷰어 아크로벳 리더(227개)에 집중됐다. 플래시 플레이어는 과거부터 해킹의 주요 통로로 활용된다는 비판을 받았다.

한편 지난해 취약점 수가 가장 많이 발견된 제품 10개는 어도비 제품을 제외하고 대부분이 안드로이드, 데비안리눅스, 우분투리눅스, 오픈수세 등 오픈소스 기반의 제품으로 최근 급속히 확산되고 있는 오픈소스에 대한 보안 우려가 여전했다.

보안업계 관계자는 "벤더들의 보안 취약점이 시간이 흘러도 줄지 않고 있어 더 많은 자구책이 필요하다"며 "특히 제품 개발 시 코딩과정에서 취약점이 삽입되지 않는 철저한 시큐어코딩과 이를 위한 개발자 교육에 더욱 신경 쓸 필요가 있다"고 말했다.

이어 관계자는 "일반 사용자 입장에서 해킹에 제일 많이 노출되는 통로는 어도비 플래시인데 새 패치가 나올 때마다 업데이트해 최신 버전으로 유지하는 것이 필요하다"고 덧붙였다.