레드햇·IBM, 알려지지 않은 자바 취약점 400건 이상 수정 조치

레드햇과 IBM은 ‘라이트웰(Lightwell)’을 통해 자바 라이브러리에서 기존에 알려지지 않았던 취약점 400건 이상을 발견하고 수정 조치했다고 7일 밝혔다. 양사는 기업 고객이 특정 오픈소스 소프트웨어 종속성에 대한 우선 검토 및 취약점 수정을 요청할 수 있는 ‘라이트웰 클리어링하우스(Lightwell Clearinghouse)’도 정식 출시했다.

자율형 AI 에이전트가 위험도가 낮은 소프트웨어 취약점 여러 개를 엮어 더 심각한 공격으로 발전시킬 수 있게 되면서, 기업에는 단순히 취약점을 발견하는 것 이상의 대응이 요구되고 있다. 핵심 애플리케이션을 뒷받침하는 소프트웨어의 취약점을 실제로 수정하고, 이를 테스트해 배포할 수 있는 실질적인 방안이 필요하다.

많은 보안 도구가 잠재적 문제를 식별할 수 있지만, 탐지만으로 리스크가 사라지는 것은 아니다. 기업은 현재 운영 환경에서 실행 중인 소프트웨어 버전과 호환되고, 비즈니스 운영을 중단하지 않고 적용할 수 있는 수정 사항이 필요하다.

레드햇과 IBM은 라이트웰을 통해 실제 프로덕션 환경에서 광범위하게 사용되는 소프트웨어에서 기존에 알려지지 않았던 버그 400건 이상을 발견하고 수정 조치했으며, 이전 버전에도 수정 사항을 적용할 수 있도록 백포팅(backporting)을 진행했다. 이는 오랜 기간 안정적으로 사용해 온 코드베이스도 위협 환경이 변화함에 따라 지속적인 관리가 필요하다는 점을 보여준다. 양사는 기업 시스템 전반의 위험을 줄일 수 있도록 이러한 기반 소프트웨어에 엔지니어링 역량을 집중하고 있다.

라이트웰은 AI 시대에 안전한 오픈소스 소프트웨어를 제공하려는 IBM과 레드햇의 노력을 기반으로 한다. 이를 위해 레드햇과 IBM의 오픈소스 엔지니어링 전문성, 레드햇의 긴밀한 오픈소스 커뮤니티 네트워크, 고급 AI 기반 엔지니어링 워크플로우, 레드햇의 안전한 소프트웨어 공급망 역량 및 빌드 인프라 등의 핵심 역량을 결합한다.

라이트웰은 이러한 역량을 바탕으로 프로덕션 시스템의 오픈소스 애플리케이션 종속성에 맞는 버전별 수정 사항을 빠르게 개발한다. 수정 사항은 고객의 기존 IT 프로세스와 연동되는 보안 저장소를 통해 제공된다. 이에 따라 기업은 현재 사용 중인 보안 스캐너와 소프트웨어 저장소, 개발 파이프라인, 테스트 프로세스를 교체하지 않고도 해결하기 어렵거나 기존에 알려지지 않았던 취약점에 대응할 수 있다.

IT 팀은 라이트웰 네트워크를 통해 검증된 패치를 이용하고, 조치가 완료된 소프트웨어를 기존 워크플로우에 적용해 취약점에 지속적으로 대응하는 프로세스를 구축할 수 있다. 이번 라이트웰 클리어링하우스 정식 출시로 고객은 특정 오픈소스 취약점을 IBM과 레드햇에 제출해 우선 검토 및 조치를 받을 수 있으며, 현재 사용 중인 이전 버전의 소프트웨어에도 적용할 수 있는 수정 사항도 제공받는다.

레드햇의 오픈소스 리더십 기조에 따라 라이트웰을 통해 개발된 수정 사항 가운데 적용 가능한 내용은 책임 있는 공개(responsible disclosure) 원칙에 따라 업스트림 오픈소스 프로젝트에 다시 제공된다. 이를 통해 라이트웰 클리어링하우스 참여 기업에 대한 엠바고 보호를 유지하면서, 보다 폭넓은 오픈소스 생태계가 라이트웰의 규모와 역량을 활용할 수 있도록 지원한다.

거너 헬렉슨 레드햇 라이트웰 부문 부사장 겸 총괄은 “AI 에이전트의 등장으로 위협 환경은 순식간에 달라졌다. AI 에이전트는 오래된 소프트웨어 종속성의 취약점을 기계적인 속도로 악용한다”며 “작은 틈 하나만 있어도 여러 취약점을 연계해 공격으로 발전시킬 수 있기 때문에 코드베이스가 10년이 됐거나 안정적이라고 평가받는지는 중요하지 않다”고 설명했다.

그는 “버그를 발견하는 것은 문제 해결의 절반에 불과하다. 중요한 것은 현재 운영 중인 프로덕션 애플리케이션에 수정 사항을 직접 백포팅해서, 고객이 보안과 서비스 가동 중 하나를 선택하지 않아도 되도록 하는 것”이라며 “짧은 시간 안에 400건 이상의 새로운 취약점을 발견하고 무력화한 것은 라이트웰이 얼마나 빠르게 대응할 수 있는지를 보여주며, 이는 시작에 불과하다”고 강조했다.

글. 바이라인네트워크
<김우용 기자>yong2@byline.network