[웹 애플리케이션] aiohttp 3.9.1 - 디렉터리 트래버설 PoC

핵심 요약

aiohttp 3.9.1 버전에서 디렉터리 트래버설(Directory Traversal) 취약점 개념 증명(PoC)이 공개되어, 공격자가 웹 서버의 임의 파일에 접근할 수 있는 위험이 확인되었습니다. 이 취약점은 웹 애플리케이션이 사용자 입력값을 적절히 검증하지 않고 파일 경로에 사용하는 경우 발생하며, 공격자는 `../`와 같은 특수 문자를 이용하여 서버 파일 시스템의 상위 디렉터리로 이동하여 민감한 정보(예: 설정 파일, 소스 코드)를 탈취할 수 있습니다. 이는 OWASP Top 10의 A01:2021 – 취약한 접근통제 또는 A06:2021 – 취약하고 오래된 구성요소와 관련될 수 있습니다. IT 감사인은 웹 애플리케이션의 입력값 검증 로직과 사용 중인 라이브러리 및 프레임워크의 보안 취약점 관리 현황을 중점적으로 점검하여 데이터 유출 및 시스템 무결성 침해 리스크를 사전에 식별해야 합니다.

💡 개선 권고안

• ✔기술적 조치`aiohttp` 라이브러리를 사용하는 모든 웹 애플리케이션은 즉시 최신 보안 패치 버전으로 업데이트할 것을 권고함.
• ✔기술적 조치웹 애플리케이션에서 파일 경로를 처리하는 모든 사용자 입력값에 대해 `../`, `..\` 등 디렉터리 트래버설 공격에 사용되는 특수 문자를 필터링하거나, 화이트리스트 기반의 유효성 검증을 적용하여 안전한 파일 경로만 허용하도록 보안 로직을 강화할 것을 권고함.
• ✔기술적 조치웹 서버의 민감한 설정 파일, 로그 파일, 백업 파일 등은 웹 루트 외부에 보관하고, 웹을 통해 직접 접근할 수 없도록 파일 시스템 접근 권한 및 웹 서버 설정을 강화할 것을 권고함.
• ✔관리적 조치개발 단계에서부터 정적/동적 애플리케이션 보안 테스트(SAST/DAST)를 의무화하고, 오픈소스 구성 요소 분석(SCA) 도구를 활용하여 사용 중인 모든 라이브러리 및 프레임워크의 취약점을 주기적으로 점검하고 관리하는 프로세스를 수립 및 시행할 것을 권고함.
• ✔관리적 조치개발 및 운영 담당자를 대상으로 디렉터리 트래버설과 같은 웹 애플리케이션 취약점에 대한 보안 코딩 교육을 정기적으로 실시하여 보안 인식 및 개발 역량을 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문