Security

SAP 제품들에서 초고위험도 취약점 세 개 패치돼

문가용 기자

Published: 15:33, 10 Sep 2025 (Updated: 00:38, 11 Sep 2025)

💡

Editor's Pick
- 기업 환경에서 널리 사용되는 SAP 제품들
- 이번에 초고위험도 취약점 3개 발견돼
- 패치 소식은 사실상 공격 신호탄이기도

기업용 자원 관리 솔루션 개발사인 SAP가 자사 제품에서 세 가지 취약점을 발견해 패치했다. 세 개 모두 초고위험도로 분류됐으며, 따라서 시급한 패치 적용이 요구된다. 전부 SAP넷위버(SAP Netweaver)에서 발견됐다.

먼저, 패치된 취약점들을 위험도 순서대로 정리하면 다음과 같다.
1) CVE-2025-42944 : CVSS 기준 10점짜리 역직렬화 취약점. 인증 과정을 거치지 않은 공격자가 RMI-P4 모듈을 통해 악의적인 페이로드를 전달함으로써 피해자의 운영체제 상에서 임의 명령을 실행할 수 있게 된다.

2) CVE-2025-42922 : CVSS 기준 9.9점짜리 불안전 파일 처리 취약점. 높지 않은 권한을 가진 사용자로 로그인 한 공격자가 아무 파일이나 원하는 대로 업로드 할 수 있게 해 준다. 어떤 파일을 업로드 하냐에 따라 다양한 공격이 가능하다.

3) CVE-2025-42958 : CVSS 기준 9.1점짜리 검증 오류 취약점. 비인가 사용자가 높은 권한을 가지고 민감한 정보를 열람 및 수정할 수 있게 해 준다. 삭제도 가능하다. 비인가 사용자이지만 여러 관리자 기능에 접근할 수도 있다.

그 외에도 SAP는 또 다른 자사 제품인 S/4HANA에서도 고위험도 취약점을 발견해 패치했다고 알렸다. 여기서 발견된 취약점은 CVE-2025-42916으로, CVSS 기준 8.1점이다. 상당히 높은 점수이지만, 앞선 세 개 취약점의 점수 때문에 낮아 보인다. 이 취약점은 사용자 입력값 확인과 관련된 것으로, 익스플로잇에 성공한 공격자는 임의 데이터베이스 테이블을 삭제할 수 있게 된다고 SAP는 경고했다.

아직까지는 이 네 가지 취약점에 대한 실제 익스플로잇 공격 사례가 발견되지는 않고 있다. 하지만 지난 달 SAP가 패치한 9.9점짜리 취약점인 CVE-2025-42957의 경우 패치가 나온 후부터 적극적인 악용 사례가 증가했다. 이번 취약점들도 그럴 수 있어, 더더욱 주의가 요구된다.

패치, 양날의 검
많은 사용자들이 간과하는 것은 ‘패치가 나왔다’는 소식 자체가 해커들에게는 일종의 공격 신호탄이 된다는 사실이다. 이 때문에 패치 개발사는 해당 소식을 조심스럽게 발표하려 하고, 동시에 사용자들에게 조속한 패치 적용을 촉구한다. 이 내용을 조금 더 상세히 설명하면 다음과 같다.

소프트웨어 등에서 발견된 취약점은 일종의 ‘구멍’이다. 높은 담벼락에 난 구멍이나 틈으로, 도둑은 높은 담을 넘거나 무너트리지 않더라도 이 구멍을 통해 벽 안으로 진입할 수 있게 된다. 그러므로 이 취약점을 얼른 막는 게 중요하다.

하지만 도둑들이라고 해서 모든 담벼락의 사정을 낱낱이 알고 있는 건 아니다. 해커들 역시 모든 소프트웨어의 모든 특성과 모든 약점을 이해하고 있지 않다. ‘여기 이런 저런 취약점이 있으니 패치하세요’라는 소식은, ‘여기에 원래 구멍이 있었어요’를 알리는 것과 마찬가지다. 해커들 입장에서는 ‘에이, 이미 조치됐네’가 아니라 ‘내가 모르던 공격 통로가 있었네’로 들린다. 이게 첫 번째 ‘공격 신호탄’이다.

거기에 자기가 모르던 구멍이 있었다는 걸 비로소 깨닫게 된 공격자들은 이제 그 구멍을 분석하기 시작한다. 패치가 나왔으므로 이 분석 과정이 더 쉬워진다. 왜냐하면 패치 적용 전 버전과 패치 적용 후 버전을 비교할 수 있기 때문이다. 이를 통해 어떤 내용이 추가됐거나 빠졌는지를 금방 파악할 수 있는데, 이 정보가 바로 취약점의 실질적인 익스플로잇에 대한 실질적인 정보가 된다. 이것이 두 번째 ‘공격 신호탄’이다.

여기에 세 번째 신호탄도 있을 수 있다. 바로 개념증명용 익스플로잇 코드다. 취약점 연구를 하던 사람이 코드 익스플로잇 방법을 독자적으로 발견하고, 이를 증명하기 위해 공개하는 게 바로 개념증명용 코드다. 실제 해킹 공격에 사용되는 코드와 거의 비슷하나, 진짜 피해를 발생시킬 만한 핵심 내용은 빠져 있다. 개념증명용 코드가 있어 공격 시나리오를 구체적으로 예상해 방어 대책을 마련할 수 있지만, 반대로 공격자 입장에서는 빠져 있는 핵심 내용만 채워넣으면 공짜로 공격 코드가 완성되는 거라 반가운 소식이다. 그래서 개념증명용 코드가 공개되면 실제 공격이 급증하는 게 보통이다.

취약점이 발견된 소프트웨어가 정말 널리 사용되거나 중요한 기업/기관에서 이용하는 것이라면 공격자는 이런 신호탄을 흘려듣지 않는다. 세계적인 대기업들이 사용하는 SAP 솔루션들이라면 더 집요하게 파고드는 게 보통이며, 이는 지난 달 CVE-2025-42957 취약점을 통해 입증되기도 했다.