핵심 요약
- 중국 시장 중심 문서관리 및 데이터 유출 방지 솔루션 ESAFENET CDG에서 SQL Injection, XSS, 기본 비밀번호 등 기초적인 보안 결함이 동시에 확인되었다.
- SANS Internet Storm Center 허니팟에 해당 제품 대상의 약한 로그인 스캔 트래픽이 유입되어 실제 인터넷상에서 무차별 탐지 시도가 발생 중인 것으로 분석된다.
- 보안 그 자체를 목적으로 배포되는 DLP/문서관리 제품의 취약점이 오히려 고객의 기밀 데이터를 위험에 노출시키는 공급망 보안의 역설적 사례가 됐다.
보안 솔루션 도입 시에는 제품 기능뿐 아니라 공급사의 보안 위생 수준과 공개된 취약점 이력을 함께 점검하는 것이 바람직하다는 점이 이번 사안에서 확인된 시사점이다.
2026년 7월 26일 SANS Internet Storm Center는 ESAFENET CDG(Content Data Guard) 문서관리 시스템을 겨냥한 약한 로그인 스캔 트래픽이 허니팟에서 관측되었다고 공개했다. 해당 보고서는 SQL Injection과 XSS 같은 웹 취약점뿐 아니라 기본 비밀번호가 변경되지 않은 채 노출된 인스턴스가 다수 존재함을 지적하며, 보안제품 자체가 새로운 공격면이 될 수 있음을 다시 한번 환기시켰다.
ESAFENET CDG 취약점 개요
제품 정의 및 주요 기능
ESAFENET CDG는 Content Data Guard의 약칭으로, 기업 내부의 전자문서, 설계도, 이미지, 동영상 등 다양한 형태의 콘텐츠를 통합 관리하고 외부 유출을 차단하기 위해 설계된 문서관리 및 데이터 유출 방지(DLP) 솔루션이다. 주로 중국 시장을 중심으로 판매되며, 공급사는 공공, 제조, 금융 분야의 문서 보안 요구를 충족하는 것을 주요 가치로 제시하고 있다. 일반적인 DLP와 유사하게 문서 암호화, 접근제어, 외부 반출 추적, 사용자 행동 모니터링 등의 기능을 제공하며, 중앙 집중형 정책 서버와 다수의 에이전트가 결합된 형태로 배포된다.
노출된 취약점 분류(SQLi, XSS, 기본 비밀번호)
공개된 보고에 따르면 해당 인스턴스에서 OWASP Top 10 상위 항목에 꾸준히 포함되는 기초 결함이 함께 식별된 것으로 기술되어 있다. 세부 분류는 다음과 같다.
- SQL Injection (SQLi): 로그인 및 문서 검색 입력값이 충분히 검증되지 않아 인증 우회 및 데이터베이스 직접 질의가 가능한 상태로 분석된다.
- Cross Site Scripting (XSS): 문서 제목, 사용자 코멘트, 관리자 알림 메시지 등에서 스크립트 실행이 허용되어 세션 탈취 및 관리자 권한 도용의 경로로 악용될 수 있다.
- 기본 비밀번호 (Default Credentials): 설치 직후 변경되지 않은 초기 관리자 계정이 다수 존재하여 무차별 대입 없이도 즉시 관리 콘솔 접근이 가능한 사례가 확인된 것으로 보인다.
이 세 항목은 신규 서비스 출시 시 가장 먼저 점검되어야 할 기본 위생 항목이라는 점에서, 공급사 보안 성숙도에 대한 의문을 제기한다.
SANS ISC에서 관측된 스캔 활동
약한 로그인 스캔 패턴 분석
SANS Internet Storm Center는 전 세계 다수의 허니팟 센서에서 수집된 로그를 바탕으로 ESAFENET CDG 관련 시그니처를 포함한 User-Agent, URL 패턴, POST 페이로드 사례를 식별한 것으로 소개된다. 관측된 요청은 다음과 같은 특징을 보였다.
- 한정된 소수 IP 대역에서 동시에 짧은 시간 동안 다수의 로그인 엔드포인트를 향해 요청을 집중시키는 형태다.
- 사용자 계정 입력란에 admin, administrator, root 같은 기본 아이디와 짧은 길이의 사전 단어를 반복 대입한다.
- 실패 시 동일 페이로드를 약간 변형해 다시 시도하는 자동화 스크립트 패턴이 명확하게 나타난다.
이러한 행태는 표적성이 낮은 광범위 무차별 대입에서 특정 제품군을 선별한 semi-targeted 스캔으로 이행되고 있음을 시사한다. 즉, 공격자는 공개된 취약점 정보를 기반으로 ESAFENET CDG 설치 환경을 효율적으로 좁혀가고 있는 것으로 분석된다.
이전 스캔 사례와의 비교
SANS ISC 다이어리 기록을 보면 동일 제품군을 겨냥한 스캔이 과거에도 간헐적으로 관측된 이력이 있다. 과거에는 단순히 포트 스캔과 버전 식별 수준에 그쳤다면, 최근 관측에서는 실제 인증 시도와 기본 자격증명 대입까지 고도화된 점이 눈에 띈다. 이는 취약점 정보의 공개, 익스플로잇 자동화 도구의 확산, 그리고 특정 지역 보안제품에 대한 관심 증가가 결합된 결과로 해석된다.
보안제품 공급망 보안의 역설
중국 시장 중심 보안제품의 글로벌 위험
ESAFENET CDG는 공식적으로 중국 시장을 주 대상으로 하지만, 글로벌 공급망을 통해 한국, 동남아시아, 유럽 일부 기업에도 OEM 형태나 현지 파트너를 통해 도입될 가능성이 존재한다. 만약 해외 거점에 기본 비밀번호가 유지된 채 운영되는 인스턴스가 있다면, 해당 인스턴스는 지리적 거리와 무관하게 인터넷상에서 즉시 공격 표면이 된다. 중국 본사 서버를 통한 백도어나 데이터 반출 가능성이 제기될 경우, 단일 결함에 따른 영향이 지역과 산업을 가로지르는 복합 리스크로 확대될 가능성이 있다는 분석이 제시된다.
유사 보안제품 사례 벤치마킹
과거에 안티바이러스, 통합 로그관리, SIEM 등 보안 솔루션에서 자체 취약점이 발견되어 고객 환경이 영향받았던 사례가 보고된 바 있다. 표면적으로는 보안 강화를 표방하면서도 내부 구현에서 웹 애플리케이션 보안의 기본을 충족하지 못하는 사례가 보고된 바 있으며, 이번 사안도 유사한 양상을 보인다는 평가가 제시된다. 따라서 새로운 보안 제품을 평가할 때는 인증서, 광고 자료의 기능 나열보다 자체 보안 책임과 패치 이력을 우선적으로 확인하는 자세가 요구된다.
실무 대응 권고
즉시 적용 가능한 점검 항목
현장에서 바로 수행할 수 있는 점검 항목은 다음과 같이 요약할 수 있다.
- 관리 콘솔 계정의 기본 비밀번호를 강제 변경하고, 사용 중인 계정의 비밀번호 복잡도와 재사용 여부를 점검한다.
- WAF 또는 리버스 프록시에서 SQLi, XSS 패턴을 차단하는 시그니처를 활성화하고, 로그인 실패 임계치 기반의 레이트 리미팅을 적용한다.
- 인터넷에 직접 노출된 관리 인터페이스 여부를 점검하고, 불가피한 경우 VPN 또는 IP 허용 목록 뒤로 격리한다.
- 제조사에서 제공하는 최신 패치 및 펌웨어를 즉시 적용하고, 변경 이력을 자산관리 시스템에 기록한다.
중장기 보안 위생 강화 방안
단기 점검으로 끝내지 않고 공급망 차원의 위생을 강화하기 위해 다음의 절차를 제도화할 필요가 있다.
- 신규 보안제품 도입 시 자체 취약점 점검 보고서, 최근 1년간 CVE 이력, 보안 인증 현황을 RFP 필수 항목으로 명시한다.
- 중요 시스템에 대해서는 정기적 침투 테스트와 외부 인증 스캔을 분기 단위로 수행하고, 미흡한 항목은 계약상 SLA에 반영한다.
- 벤더 보안 책임자를 지정하여 책임 분담, 사고 통보 절차, 패치 배포 SLA를 문서화한다.
- 해외 솔루션의 경우 데이터 주권, 백도어 우려, 소스코드 검수 가능 여부를 컴플라이언스 팀과 사전 협의한다.
결론적으로 이번 ESAFENET CDG 사례는 보안 그 자체를 판매하는 제품조차 기본적인 보안 위생에서 자유로울 수 없다는 사실을 명확히 보여준다. 특히 글로벌 공급망 환경에서는 단일 제품의 결함이 다수 국가의 고객 데이터로 직결될 수 있으므로, 보안 실무자는 제품 도입 단계에서부터 공급망 보안을 핵심 평가 축으로 삼아야 할 것이다.
핵심 정리
- ESAFENET CDG에서 SQL Injection, XSS, 기본 비밀번호 결함이 동시에 노출된 점은 공급사 보안 성숙도의 근본적 문제를 시사한다.
- SANS ISC 허니팟 데이터는 단순 탐지가 아닌 실제 로그인 시도 단계로 공격이 진화했음을 보여주며, 즉시 차단 조치가 필요하다.
- 보안제품 공급망 리스크는 단일 기업의 문제가 아니라 글로벌 데이터 유출 위협으로 확장될 수 있으므로 도입 평가 체계를 재정비해야 한다.
참고 출처
– SANS Internet Storm Center Diary
– ESAFENET 공식 제품 정보 페이지