전자정부 표준프레임워크 공통 컴포넌트를 분석한 프로젝트 캐노피가 보안 취약점 990건을 식별하고 300여 건의 패치를 완료했다고 7월 14일 발표했다. 운영 주체인 프로젝트 플라즈마의 공식 자료에 따르면 1차 후보군은 약 1,300건이었으며, 오탐을 제거하고 중복을 정리한 뒤 990건을 취약점으로 확정했다.
공식 발표는 확정 취약점 가운데 약 10%를 Critical 또는 High 등급으로 분류했다. 사례로는 인증 우회, 임의 SQL 실행, 고정 암호키 사용에 따른 파일 탈취, IDOR·BOLA를 통한 다른 사용자 정보 접근 가능성을 들었다. 이 수치는 후보 코드 결함 전체가 아니라 정제 과정을 거쳐 확정한 취약점 기준이다.
| 구분 | 공식 발표 수치 | 의미 |
|---|---|---|
| 1차 후보군 | 약 1,300건 | 자동·수동 분석에서 포착한 초기 후보 |
| 확정 취약점 | 990건 | 오탐 제거와 중복 정리 후 확정 |
| Critical·High | 약 10% | 상대적으로 위험도가 높은 항목 비중 |
| 패치 완료 | 300여 건 | 발표 시점까지 수정된 항목 |
자료: STORIUM 정리
전자정부 표준프레임워크의 공통 컴포넌트는 여러 공공 시스템에서 재사용된다. 같은 코드가 다양한 서비스에 들어가는 구조에서는 한 번 발견한 결함의 영향 범위가 넓어질 수 있다. 프로젝트 측이 패치를 순차 공개하는 이유도 개별 시스템이 사용 중인 컴포넌트와 버전을 확인해 적용하도록 하기 위해서다.
이번 발표는 990건 전체가 이미 수정됐다는 뜻은 아니다. 완료된 패치는 300여 건이며 나머지 항목은 후속 조치가 필요한 상태다. 실제 기관과 개발사는 사용 중인 버전, 패치 적용 여부, 외부 노출 경로를 별도로 점검해야 한다.
프로젝트 플라즈마는 분석 과정과 취약점 유형, 패치 현황을 공개했다. 다만 개별 취약점의 실제 악용 여부나 피해 규모는 발표하지 않았다. 따라서 이번 결과는 대규모 코드 감사와 수정 진행 상황으로 읽어야 하며, 확인되지 않은 침해 사고로 확대해 해석해서는 안 된다.
저작권자 © STORIUM 무단전재 및 재배포 금지
