명령어 주입 입문: 입력값이 명령 해석에 끼어드는 순간

한 문장으로 이해하기

명령어 주입은 외부에서 받은 입력값이 운영체제 명령의 해석에 영향을 주게 되어, 공격자가 의도한 명령이 실행될 수 있는 취약점이다. 운영체제는 컴퓨터를 관리하는 기본 프로그램을 뜻한다. 이 강좌를 마치면 세 가지를 할 수 있다. 첫째, 명령어 주입의 뜻을 자기 말로 한 문장으로 설명한다. 둘째, 입력이 명령으로 실행되기까지의 단계를 순서대로 말한다. 셋째, 이 설명이 들어맞는 조건과 들어맞지 않는 경우를 구분한다. 필요한 사전지식은 두 가지뿐이다. 웹 서비스가 사용자에게 값을 받는다는 점, 그리고 서버 안에서 상태 확인 같은 명령이 실행된다는 점이다.

왜 필요한가

이 개념을 알아야 하는 이유는 실제로 악용이 보고되고 공식 기관이 조치를 요구한 사례가 있기 때문이다. Progress Kemp LoadMaster라는 네트워크 장비에서 발견된 취약점이 그 예다. CVE-2026-8037은 이 강좌에서 그 취약점을 가리키는 식별자다. 이 결함은 운영체제 명령어 주입으로 분류됐고, 보도된 심각도 점수는 9.6이었다. 보도에 따르면 인증하지 않은 원격 공격자가 이를 이용해 코드를 실행할 수 있다. 미국 사이버보안·인프라보안국(CISA)은 이 취약점을 알려진 악용 취약점 목록에 올리고 미국 연방기관에 3일 안에 조치하도록 요구했다. 보안업체 eSentire는 이런 장비가 네트워크 가장자리에 놓이고 주요 내부 서비스를 볼 수 있는 경우가 많아, 침해되면 추가 악성 활동으로 이어질 수 있다고 경고했다.

어떻게 이루어지는가

1. 프로그램이 외부에서 값을 받는다. 검색어나 주소 입력 칸에 들어온 문자열 같은 것이다.
2. 그 값이 명령과 안전하게 분리되지 못한다. 검사나 변환이 빠질 수도 있고, 값을 다루는 과정 자체에 결함이 있을 수도 있다.
3. 그 값이 운영체제 명령을 만드는 과정에 흘러 들어간다.
4. 운영체제가 만들어진 문자열을 명령으로 해석한다.
5. 공격자가 넣은 부분까지 해석에 반영되어, 프로그램의 권한으로 공격자의 명령이 실행될 수 있다.

2단계가 무너지는 방식은 사례마다 다르다. 뒤에 나오는 가상 예시는 검사가 빠진 단순한 형태이고, 앞서 소개한 실제 사례는 값을 다루는 과정의 결함을 거친 형태다.

하나의 예시로 따라가기

다음은 이해를 돕기 위한 가상 예시다. 사내 관리 페이지에 서버 주소를 넣으면 연결 상태를 확인해 주는 기능이 있다고 하자. 담당자가 주소를 넣으면 서버는 그 주소를 재료로 연결 확인 명령을 만들어 실행한다. 여기서 1단계와 3단계, 4단계는 설계자가 의도한 흐름이다. 그러나 2단계, 즉 입력값이 주소 형식인지 확인하고 안전하게 처리하는 과정이 빠져 있다면 이 기능은 취약하다. 공격자가 주소 칸에 주소가 아닌 문자열을 넣으면, 그 문자열이 명령 해석에 끼어들어 추가 명령으로 읽힐 수 있다. 담당자는 입력값을 ‘주소라는 데이터’로만 다루려 했지만, 프로그램은 그것을 ‘명령을 이루는 재료’로 넘긴 것이다.

앞서 본 실제 사례도 같은 범주에 있으나 경로는 더 복잡했다. 보도에 인용된 분석에 따르면, 이 장비는 입력과 메모리를 다루는 과정의 문제를 거쳐 운영체제 명령을 실행하는 기능에 도달할 수 있었다. 또 보도에 인용된 권고문은 특정 접속 지점에 전달되는 사용자 입력의 처리 결함으로 최고 권한인 root 권한에서 코드가 실행될 수 있다고 설명했다. 즉 이 사례는 입력을 명령 문자열에 그대로 이어 붙인 결함이라고 단정할 수 없다.

언제 쓰고 언제 쓰지 않는가

명령어 주입이라는 설명은 외부 입력이 운영체제 명령의 해석까지 이어지는 통로가 있을 때만 들어맞는다. 입력을 명령으로 넘기지 않는 기능에는 해당하지 않는다. 흔한 오해도 구분해야 한다. 첫째, 취약점이 있으면 공격이 항상 성공한다는 오해다. eSentire는 6월 30일 악용을 경고하면서 당시 확인된 초기 시도들은 성공하지 못했다고 밝혔다. 둘째, 노출된 장비 수가 곧 피해 규모라는 오해다. Shadowserver는 약 300대의 Kemp LoadMaster가 인터넷에 노출됐다고 집계했지만, 그중 미끼 장비나 이미 조치를 마친 장비가 몇 대인지는 알려지지 않았다. 대응의 기본은 제조사가 배포한 보안 업데이트를 적용하는 것이다. Progress는 6월에 보안 업데이트를 배포했다.

핵심 정리와 확인문제

핵심은 하나다. 외부 입력이 운영체제 명령의 해석에 영향을 주면, 그 입력은 명령이 될 수 있다.

확인문제

1. 명령어 주입이 성립하려면 프로그램이 외부 입력을 어떻게 다루어야 하는가?
2. 다음 네 가지를 명령어 주입이 일어나는 순서대로 배열하고, 그중 취약점의 출발점이 되는 단계를 고르시오. (가) 운영체제가 문자열을 명령으로 해석한다 (나) 프로그램이 외부에서 값을 받는다 (다) 값이 명령을 만드는 과정에 흘러 들어간다 (라) 입력값이 명령과 안전하게 분리되지 못한다
3. 인터넷에 노출된 장비 수를 곧바로 피해 규모로 볼 수 없는 이유는 무엇인가?

정답과 해설

정답 1. 입력이 명령과 안전하게 분리되지 못한 상태로, 그 입력이 최종적으로 운영체제 명령의 해석에 영향을 주도록 다루어야 한다. 해설: 외부 입력이 운영체제 명령 해석에 영향을 주지 않도록 분리된 구조라면, 이 강좌에서 설명한 명령어 주입의 조건에 해당하지 않는다. 영향을 주는 방식은 문자열을 곧바로 이어 붙이는 형태에 한정되지 않는다.

정답 2. 순서는 (나) → (라) → (다) → (가)이며, 취약점의 출발점은 (라)다. 해설: 값을 받는 것 자체와 명령을 실행하는 기능 자체는 설계자가 의도한 흐름일 수 있고, 안전한 분리가 무너진 지점에서 취약점이 생긴다.

정답 3. 노출 집계에는 미끼 장비나 이미 조치를 마친 장비가 섞여 있을 수 있어서다. 해설: 실제로 약 300대 노출이 집계됐지만 그 구성은 알려지지 않았다.

참고자료

• 명령어 주입 입문 참고자료
• 명령어 주입 입문 참고자료