마이크로소프트 Bing ‘SVG 취약점’ 노출…클라우드 공급망 보안 경고

Bing ‘이미지 생성·검색’ 서버에서 SYSTEM 권한 원격 코드 실행 노출…클라우드 기반 서비스 공급망 취약성 경고

• 마이애미대 연구자 스테판 사우티어가 Bing Images의 SVG 처리 로직을 조작해 마이크로소프트 서버에서 SYSTEM 권한 명령 실행이 가능했으며, 이는 Bing 이미지 검색·생성 전체 파이프라인을 장악할 수 있는 수준의 서버 측 취약점이다.
• 공격자는 특수 제작한 SVG 파일을 Bing Images에 업로드해 이미지 메타데이터 처리 과정에서 샌드박스 밖에서 코드가 실행되도록 만들었으며, 이때 Bing 백엔드에 연결된 스토리지·인증 토큰·내부 API에 연쇄 접근이 가능한 서비스 간 신뢰 구조 취약이 핵심이다.
• 연구자는 이 취약점으로 Azure 기반 Bing 인프라 일부에서 SYSTEM 권한을 획득하고 내부 스토리지에 접근할 수 있음을 입증했고, 마이크로소프트는 90일 내 패치와 버그바운티를 제공했으나 정확한 영향 범위와 잠재적 데이터 노출 규모는 공개하지 않았다.
• 이번 사례는 생성형 AI와 이미지 검색이 결합된 Bing Images처럼 복수의 클라우드 서비스가 연동된 구조에서 한 지점의 콘텐츠 처리 취약이 전체 플랫폼과 연계 서비스로 확산되는 ‘클라우드 공급망 공격’ 모델을 현실화하며, 국내 포털·공공 클라우드도 유사 구조 점검이 시급하다.
• 한국 정부는 국가사이버안보전략의 ‘클라우드·AI 서비스 보안’ 축 아래 SVG·PDF·Office 등 파일 처리 엔진을 국가 중요 서비스의 핵심 취약 지점으로 규정해 코드 실행 방지형 표준 아키텍처와 보안 인증을 마련하고, 버그바운티·화이트해킹과 연계한 클라우드형 이미지·문서 처리 보안 산업 육성에 나설 필요가 있다.

공공·민간이 함께 쓰는 클라우드 기반 이미지·문서 처리 서비스는 이제 국가 핵심 인프라와 연결된 공급망 노출 지점이므로, 정부는 파일 처리 엔진 전수 점검과 함께 ‘콘텐츠 샌드박스 보안 가이드라인’을 제정해 국가·지자체 조달 기준에 즉시 반영할 필요가 있다.

주요 용어: SYSTEM 권한(윈도우 운영체제에서 최고 수준의 관리자 권한으로, 탈취 시 서버 완전 장악이 가능한 계정 수준), SVG(Scalable Vector Graphics, 텍스트 기반 벡터 이미지 형식으로 스크립트·외부 호출을 포함할 수 있어 잘못 처리하면 코드 실행 통로가 되는 파일 포맷)

출처: The Hacker News