SAP 주요 제품군서 심각도 '최고' 취약점 발견

최대 권한 사용자 계정 생성 가능…고객사 4만여곳 영향권

글로벌 소프트웨어 기업 SAP 제품군에서 최대 권한을 지닌 사용자 계정을 만들 수 있는 취약점이 발견됐다. SAP는 자사 보안 포털에서 보안 패치를 제공하고 있다.

미국지디넷은 보안 회사 오냅시스가 이번 취약점을 발견하고, SAP에 보고했다고 14일(현지시간) 보도했다.

오냅시스는 발견한 취약점을 '리콘(RECON)'으로 명명했다. 발견된 취약점은 SAP S/4 HANA, SAP SCM, SAP CRM, SAP CRM, SAP 엔터프라이즈 포탈, SAP 솔루션 매니저 등 회사 주요 제품군에서 유효하다.

리콘은 인터넷 상에 노출돼 있는 SAP 애플리케이션에 대해, 최대 권한을 지닌 SAP 사용자 계정을 만들 수 있게 허용해준다. 공격자는 이 취약점을 악용해 기업이 사용하는 SAP 리소스를 완전히 통제할 수 있게 된다.

(출처=미국지디넷)

리콘의 취약점 등급시스템(CVSS) 점수는 10점 만점에 10점으로 평가됐다. 미국지디넷은 "취약점을 악용해 자동화된 원격 공격이 가능하고, 기술적 지식이 필요치 않으며, 유효한 자격증명 정보나 SAP 앱 계정 없이도 쉽게 악용이 가능하다는 것을 의미한다"고 설명했다. 공통보안취약점공개항목(CVE) 번호는 'CVE-2020-6287'이 부여됐다.

오냅시스는 발견된 취약점에 영향을 받는 SAP 고객사 수를 약 4만곳으로 추정했다. 다만 이 고객사들이 사용하는 SAP 애플리케이션들이 모두 인터넷 상에 노출돼 있다고 단정하긴 어렵다. 오냅시스는 인터넷에 노출돼 있어 리콘의 영향권에 놓여 있는 SAP 시스템 2천500개 가량을 발견했다고 밝혔다.

미국 국토안보부 산하 사이버보안 및 인프라 안보국(CISA)는 기업들을 대상으로 패치를 촉구하는 보안 경보를 발령했다.