아쿠아 시큐리티(Aqua Security)는 자사 보안 리서치 팀인 아쿠아 노틸러스(Aqua Nautilus)가 수천 개의 잘못 구성된 컨테이너 이미지, 레드햇 키(Red Hat Quay) 레지스트리, 제이프로그 아티팩토리(JFrog Artifactory) 및 소나타입 넥서스(Sonatype Nexus) 아티팩트 레지스트리를 통해 노출된 2억5000만개의 아티팩트(artifact)와 6만5600개의 컨테이너 이미지를 발견했다고 4일 밝혔다.
레지스트리와 아티팩트 관리 시스템은 소프트웨어 공급망의 핵심 요소다. 위협 행위자의 주요 표적이 된다. 많은 기업이 의도적으로 자사의 컨테이너 및 아티팩트 레지스트리를 외부에 공개하는데, 해당 레지스트리를 통해 유출되는 민감한 정보와 기밀을 인지하거나 제어하지 못하는 경우가 발생한다.
공격자가 액세스를 확보하면 전체 소프트웨어 개발 라이프사이클(SDLC) 툴체인과 여기에 저장된 아티팩트를 악용할 가능성이 있다. 연구팀은 “이런 고도의 중요한 환경을 적절히 보호하지 못했거나 또는 민감한 정보가 오픈소스 영역으로 유출된 경우로 해당 환경이 인터넷에 노출되고 공격에 취약해져서 심각하고 치명적인 공격으로 이어질 수도 있다”고 경고했다.
임중권 기자 lim9181@etnews.com
