0xNews - NuGet 의 수많은 취약한 패키지로 인해 .NET 플랫폼 대상 위협 경고

ReversingLabs 발표

NuGet 리포지토리에 호스팅된 기존 패키지 분석 결과 51개 고유한 소프트웨어 구성요소가 심각도가 높은 취약점에 취약함을 확인

소프트웨어 공급망 공격 Supply-Chain 으로 인해 사이버 사고 증가함에 따라 여러 타사 모듈에 대한 평가 중 이번 취약점 확인

NuGet 은 마이크로소프트가 .NET 플랫폼에 대해 지원하는 메커니즘

개발자가 재사용 가능한 코드를 공유할 수 있도록 설계된 패키지 관리자 역할 수행

프레임워크는 총 1900억개 이상 패키지 다운로드를 생성한 26만 4천개 이상 고유 패키지의 중앙 저장소를 유지 중

마이크로소프트의 NuGet 에 대한 설명

이번 분석에서 확인된 모든 사전 컴파일된 소프트웨어 구성 요소는 복잡한 압축이나 네트워크 기능을 제공하는 프로그램인 7zip, WinSCP, PuTTYgen 의 다른 버전

이 프로그램들은 기능을 개선하고 알려진 보안 취약점을 해결하기 위해 지속적으로 업데이트 수행

그러나 간혹 다른 소프트웨어 패키지가 업데이트 되지만 알려진 취약점을 포함하여 몇년간 종속되어 꾸준히 사용되는 경우도 있음

CVE-2021-3331 지정

CVSS 9.8 Critical

WinSCPHelper 은 원격 서버 파일 관리 라이브러리로 3만 5천회 이상 다운로드 기록

해당 취약점은 오래전 보고됐지만 WinSCP v.5.11.2 까지 꾸준히 문제의 라이브러리 사용

이후 WinSCP v.5.17.10 이 되어서야 해당 문제 해결

CVE-2016-9840

CVE-2016-9841

CVE-2016-9842

CVE-2016-9843 등 총 4개 취약점

이중 2개는 CVSS 9.8 Critical

zlib 데이터 압축 라이브러리에 정적으로 연결

NuGet 패키지에서 추출한 5만개 이상 소프트웨어 구성요소에서 취약한 버전 사용

DicomObjects 와 librdkafka.redist

zlib 취약점이 있는 것으로 분석된 패키지 중 일부로 이 둘은 각각 5만, 1820만회 이상 다운로드 기록

이중 librdkafka.redist 는 다른 여러 인기 패키지에 대한 종속적으로 사용

Confluent 의 Apache Kafka .NET 클라이언트는 현재까지 1760만회 이상 다운로드 기록

NuGet 에서 제공하는 Confluent.Kafka 정보

소프트웨어 솔루션 개발업체는 이제 이러한 위협에 대해 인식하고 처리와 대응에 대해 보다 적극적으로 참여해야 함

개발자 역시 보안에 대한 인식과 함께 조기 탐지와 예방을 위한 교육과 대응이 선택이 아닌 필수

openLab