[CVE] CVE-2025-13855 (CVSS 7.6 · 높음) [CWE-89]

핵심 요약

IBM Storage Protect Server 및 Plus Server에서 원격 공격자가 특수하게 조작된 SQL 문을 전송하여 백엔드 데이터베이스의 정보를 무단으로 조회, 추가, 수정, 삭제할 수 있는 SQL 인젝션 취약점(CVE-2025-13855, CVSS 7.6)이 발견되었습니다. 이 취약점은 CWE-89에 해당하는 전형적인 SQL 인젝션 공격으로, 공격자는 데이터베이스에 직접 접근하여 민감 정보를 탈취하거나, 데이터 무결성을 훼손하고, 시스템에 대한 지속적인 접근을 확보할 수 있으며, 이는 MITRE ATT&CK의 Data Manipulation(T1565) 및 Server Software Component(T1505) 전술과 연관됩니다. IT 감사인은 백업 및 스토리지 시스템의 데이터베이스 보안 취약점 관리 현황을 면밀히 점검하고, 데이터 무결성 및 가용성 확보를 위한 통제 장치 운영의 적정성을 평가해야 합니다.

💡 개선 권고안

• ✔기술적 조치IBM Storage Protect Server 및 Plus Server의 CVE-2025-13855 취약점에 대한 벤더사의 공식 보안 패치를 신속하게 적용하고, SQL 인젝션 공격 방어를 위해 웹 애플리케이션 방화벽(WAF) 또는 데이터베이스 방화벽(DBF)을 도입하여 탐지 및 차단 정책을 강화할 것을 권고함.
• ✔기술적 조치백업 시스템의 백엔드 데이터베이스에 대한 접근 제어 정책을 강화하고, 최소 권한 원칙(Principle of Least Privilege)에 따라 사용자 및 서비스 계정의 권한을 재검토 및 조정할 것을 권고함.
• ✔관리적 조치백업 및 스토리지 시스템을 포함한 모든 IT 인프라에 대한 정기적인 취약점 점검 및 모의 해킹을 수행하고, 발견된 취약점에 대한 신속한 조치 프로세스를 수립 및 시행할 것을 권고함.
• ✔관리적 조치데이터베이스 보안 및 SQL 인젝션 방어 기법에 대한 개발 및 운영 인력의 보안 교육을 강화하고, 안전한 코딩 가이드라인 준수 여부를 주기적으로 점검할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문