최근 소프트웨어 공급망과 품질 관리 시스템의 보안 취약성이 사이버 위협의 주요 표적이 되면서, 기업 내 민감 데이터 보호에 대한 중요성이 크게 대두되고 있다. 특히 중앙 집중형 애플리케이션의 구성상 단일 취약점이 전체 시스템에 치명적인 영향을 미칠 수 있어, 관련 플랫폼에 대한 선제적 취약점 분석과 패치 관리의 필요성이 커지고 있다. 

중앙 집중식 품질 관리 시스템으로 많이 활용되고 있는 ETQ 릴라이언스(Reliance)는 기업 내 품질 보증, 규정 준수, 리스크 관리, 감사 및 문서 관리를 통합적으로 지원하는 플랫폼이다. 문서화된 프로세스와 워크플로우 자동화를 통해 품질 데이터의 일관성과 추적 가능성을 확보하며, 제조, 헬스케어, 에너지 등 다양한 산업 분야에서 활용된다. 특히 웹 기반 아키텍처로 구성되어 있어 다양한 지역과 부서 간 협업을 가능케 하며, 복잡한 품질 프로세스를 하나의 환경에서 통합적으로 운영할 수 있도록 설계돼 있다. 

하지만 외부 침입에 대한 방어 체계가 미흡할 경우 시스템 전체가 위협에 노출될 수 있는 구조적 한계를 지닌다. 이런 가운데, 품질 관리 플랫폼 ‘이티큐 릴라이언스(ETQ Reliance)’에서 심각한 원격 명령 실행(Remote Code Execution, RCE) 취약점이 발견돼 보안 업계의 우려가 높아지고 있다.

원격 코드 실행으로 이어지는 시스템 계정 탈취

글로벌 보안기업 서치라이트 사이버(Searchlight Cyber)의 애셋노트(Assetnote) 보안 연구팀은 최근 ETQ 릴라이언스에서 총 4건의 보안 취약점을 발견했다고 밝혔다. 이 중 하나는 시스템 관리자 계정에 대한 인증 우회 방식으로, 공격자가 단순한 입력 조작만으로 민감한 데이터를 완전히 탈취할 수 있는 경로를 제공한다.

공개된 CVE는 총 네 가지로 구성되어 있으며 다음과 같다.

- CVE-2025-34140 : ‘;localized-text’ 접미사를 사용해 인증 없이 민감한 엔드포인트에 접근할 수 있는 인증 우회 취약점

- CVE-2025-34141 : SQLConverterServlet에 저장되는 크로스사이트스크립팅(XSS) 취약점

- CVE-2025-34142 : /resources/sessions/sso 엔드포인트를 통한 XML 외부 엔티티(XXE) 주입 취약점

- CVE-2025-34143 : 사용자 이름 필드에 공백을 추가해 SYSTEM 계정에 인증 없이 접근 가능한 취약점으로, 원격 코드 실행로 확대될 수 있음

특히 마지막 취약점인 CVE-2025-34143은 단순한 로그인 조작만으로 SYSTEM 계정에 접근할 수 있도록 하며, 이후 전체 시스템을 원격에서 통제할 수 있는 가능성을 제공한다.

사용자 입력 하나로 인증 우회...전체 시스템 장악 가능

ETQ 릴라이언스는 그 특성상 저장된 데이터가 매우 민감할 수밖에 없으며, 시스템 전체가 인터넷에 노출된 구조일 경우 위험성은 더 커진다.

해당 취약점들은 ETQ 릴라이언스 측에 공개되었으며, 현재는 모두 패치가 적용된 상태다. 이번 사례는 취약점 발견 이후 공급업체와 협력해 신속하게 대응한 보안 커뮤니티의 역할을 보여주는 사례로 평가된다. 또한 해당 플랫폼은 이전까지 공식적인 취약점(CVE) 보고가 없었던 것으로 나타나, 사각지대 보안 점검의 중요성을 환기시키고 있다.

보안 연구는 애셋노트의 취약점 리서치 센터를 통해 공개되었으며, 취약점의 발견 경위와 기술적 분석은 상세히 기술되어 있다. 연구팀은 수천 개의 문서가 공개될 경우 발생할 수 있는 잠재적 위협을 우려해 해당 시스템을 정밀 분석 대상으로 삼았다.

공격 표면 관리 통합 플랫폼 ‘애셋노트’로 대응

서치라이트 사이버는 이번 연구 결과를 자사의 공격 표면 관리 플랫폼인 애셋노트에 통합해 대응력을 강화했다. 애셋노트(Assetnote)는 제로데이 및 엔데이(N-Day) 위협에 대한 지속적인 모니터링과 실시간 탐지 기능을 제공하며, 위협 행위자가 취약점을 악용하기 전에 이를 사전에 식별하고 대응하는 데 중점을 두고 있다.

이 플랫폼은 고객의 전체 공격 노출 지형을 파악하고, 취약점 존재 여부 및 악용 가능성을 자동으로 평가하며, 사용자 조직의 시스템 환경에 적합한 위험 완화 조치를 안내한다. 실제 이번 ETQ 릴라이언스 사례처럼, 일반적인 보안 테스트를 우회하는 단순한 인증 우회 취약점조차 탐지할 수 있도록 설계된 것이 강점이다.

이번 ETQ 릴라이언 취약점 공개 사례는, 대중적으로 널리 사용되는 시스템이라 하더라도 보안 점검의 사각지대가 존재할 수 있음을 보여준다. 특히 공식적인 CVE 등록이 없었던 소프트웨어의 취약점이 한 번에 다수 발견되었다는 점에서, 소극적 보안 대응보다는 능동적 취약점 발굴과 리스크 관리가 기업 보안 전략의 핵심 과제로 떠오르고 있다.

서치라이트 사이버의 연구 및 엔지니어링 수석 부사장 슈밤 샤(Shubham Shah)는 “ETQ 릴라이언스의 취약점은 고도의 익스플로잇이 필요하지 않았다. 로그인 필드에 공백을 추가하는 것만으로도 시스템 계정에 접근할 수 있었고, 이 계정을 통해 원격 코드 실행이 가능한 수준이었다.”라며, “이러한 단순한 취약점이 실제 데이터 유출로 이어질 가능성이 있었다는 점에서 보안 대응이 시급했다.”라고 강조했다.

서치라이트 사이버는 향후에도 공격 표면 탐지 자동화, 통합 대응 체계 고도화, 산업 전반의 보안 수준 향상을 위한 취약점 공개 활동을 이어간다는 방침이다. 이번 사례는 민감 데이터를 다루는 기업들에게 정기적인 침투 테스트와 공격 표면 모니터링의 중요성을 다시 한번 각인시키는 계기가 됐다.

[알림] GTT KOREA GTT SHOW는 오는 8월 12일 오후 2시부터 3시까지 “피해 큰 BPF Door 같은 커널 기반 악성코드 막는 EDR과 마이크로세그멘테이션 실전 보안 전략”을 주제로 웨비나를 진행합니다. BPF Door 같은 커널 기반의 악성코드가 사용하는 공격 기법과 침투 단계별 위협의 소개, EDR과 마이크로세그멘테이션이 어떻게 상호보완적으로 작동하여 침입 초기 탐지부터 내부 확산 차단까지 이어지는 보안 체계의 구축 전략과 새로운 형태의 변종 공격에 유연하게 대응하는 제로 트러스트 기반 보안 전략을 실전 사례와 함께 제시합니다.