외신에 따르면 FBI는 최근 위협 행위자들이 잘못 구성된 SonarQube 어플리케이션을 악용해 미국 정부 기관 및 민갑 기업의 소스코드 라이브러리에 접근하고 이를 도용하고 있다는 보안 경고를 발표했다. FBI는 경고를 통해 이러한 유형의 공격이 적어도 2020년 4월부터 시작된 것으로 보인다고 언급했다.

이 경고는 특히 SonarQube 어플리케이션 설치자에게 경고하고 있는데, SonarQube는 기업이 자체 소프트웨어 빌드 체인에 통합하여 코드와 어플리케이션을 출시하기 전에 소스코드를 테스트하고 보안 결함을 발견하는 웹 기반 어플링케이션이다.

SonarQube 어플리케이션은 웹 서버에 설치되고 BitBucket, GibHub, GitLab 계정 또는 Azure DevOps 시스템과 같은 소스코드 호스팅 시스템에 연결된다.

FBI는 일부 기업이 이러한 시스템을 보호하지 않았으며 기본 관리 자격 증명(admin/admin)을 사용하고 기본 구성(9000포트)에서 실행 중이라고 밝혔다. 또한 위협 행위자가 이러한 잘못된 구성을 악용해 특정 SonarQube 대상에 접근하고 연결된 소스코드 저장소로 전송한 다음 개인/민감한 응용 프로그램에 접근하여 도용했다고 주장했다.

2

이러한 유출을 방지하기 위해 FBI의 경고에는 기업이 취할 수 있는 일련의 보호 조치가 나열되어 있다. 이 중 한가지는 어플리케이션의 기본 구성과 자격 증명을 변경한 다음 방화벽을 사용하여 무단 사용자가 어플리케이션에 무단 접근하는 것을 방지하는 것이다.

[출처 : 해커뉴스 / 11.10.]