|
티오리는 웹 서버 및 백엔드 개발에 광범위하게 쓰이는 노드제이에스(Node.js) 런타임의 치명적 취약점인 ‘Node2Shell’에 대해 자체 재현 및 검증을 완료하고, 기업·기관을 위한 긴급 대응 가이드를 26일 공개했다.
노드제이에스(Node.js)는 자바스크립트 코드를 웹 브라우저 밖에서도 실행할 수 있도록 해주는 런타임 환경이다. 서버 프로그램이나 웹 애플리케이션, 명령줄 도구 등을 만드는 데 활용된다.
이번에 발견된 Node2Shell은 Node.js에 탑재되거나 링크된 Brotli 압축 해제(디코더) 모듈의 ‘Out-of-bounds Write(경계 외 쓰기)’ 결함에서 비롯됐다.
공격자는 별도의 인증 절차 없이 악의적으로 조작된 Brotli 데이터를 전송해 서버를 다운시키거나(서비스 거부), 메모리 노출 및 원격 코드 실행을 통해 서버 제어권을 장악할 수 있다. Node.js 공식 기준 위험도는 ‘높음’으로 분류됐다.
특히 이 취약점은 개발자가 작성한 애플리케이션 코드의 하자 여부와 관계없이 Node.js 런타임 버전 자체의 영향으로 발생한다. Node.js 환경에서 Brotli 데이터가 디코더까지 도달하는 경로가 존재할 경우 공격이 성립하며, 최근 널리 쓰이는 Express 5의 body-parser, Node.js 전역 fetch() 메서드, 주요 HTTP 클라이언트 라이브러리(axios, got, node-fetch 등)가 대표적인 노출 경로로 확인됐다.
영향을 받는 버전은 Node.js 22.x, 24.x, 26.x 라인 중 최신 보안 패치가 적용되지 않은 버전이다.
Node.js 보안팀은 해당 취약점을 수정한 최신 보안 패치 버전(22.23.4, 24.22.1, 26.12.1 이상)을 즉시 배포하고 전면 업데이트를 강력히 권고하고 있다.
티오리는 시스템 환경상 즉각적인 Node.js 패치가 어려운 기업들을 위해, 패치 전까지 공격을 차단할 수 있는 리버스 프록시(Nginx 등) 및 애플리케이션 단의 임시 완화 방안을 함께 제시했다. 또한 별도 스크립트 설치 없이 운영 중인 서비스 URL만으로 Node2Shell 노출 위험성을 무료로 점검할 수 있는 온라인 진단 서비스도 오픈했다.
티오리 임준오 AI & Cyber Research팀 총괄은 “이번 Node2Shell 취약점은 개발자가 압축 기능을 직접 쓰지 않았더라도 웹 프레임워크가 응답을 처리하는 과정에서 자동으로 공격에 노출될 수 있어 사전 차단이 무엇보다 중요하다”고 설명했다. 이어 “공격자가 노릴 수 있는 경로를 가장 빠르게 진단할 수 있도록 무상 점검 서비스를 열었으니, 임시 조치와 함께 최신 패치 적용을 서둘러달라”고 당부했다.
