MS 서명 리눅스 UEFI ‘Secure Boot 우회’ 취약 UEFI 쉼 공개… 한국 하이브리드 클라우드 신뢰 기반 흔들림

구형 마이크로소프트 서명 UEFI 컴포넌트 악용으로 부트 보호 무력화… 정부·기업 서버 펌웨어 점검 필요

• 더해커뉴스는 마이크로소프트가 서명한 11개의 구형 리눅스 UEFI ‘shim’이 Secure Boot를 우회하는 데 악용될 수 있어, 공격자가 서명된 것으로 인식되는 악성 부트로더를 실행해 시스템 초기 부팅 신뢰를 깨뜨릴 수 있다고 보도하였다.
• 취약한 shim은 리눅스 기반 서버·클라우드 인프라에서 폭넓게 사용되어 왔으며, 공격자는 이를 통해 커널 이전 단계에서 루트킷·부트킷을 설치해 OS·보안 솔루션이 탐지하기 어려운 지속적 침투를 가능하게 한다.
• 마이크로소프트는 문제를 해결하기 위해 취약 shim을 차단하는 Secure Boot 정책 업데이트를 배포했지만, 실제 환경에서는 호환성 문제로 즉각 적용이 어려워, 자산 파악·펌웨어 업데이트 계획이 필수 과제로 떠오르고 있다.
• 한국의 공공 클라우드·금융 데이터센터·대기업 서버 환경에서 리눅스·윈도우를 혼합 사용하는 하이브리드 구조가 일반적인 만큼, 정부는 펌웨어·부트 체인 보안을 별도 규제 영역으로 설정하고, 데이터센터 인증·점검 항목에 Secure Boot 정책 확인을 포함해야 한다.
• 또한 국내 서버·클라우드 장비 공급망에서 UEFI·펌웨어 업데이트의 책임 소재를 명확히 하고, 취약한 서명 컴포넌트 사용을 제한하는 규정을 마련해, 장기 잠복형 공격에 대비한 ‘하드웨어-소프트웨어 통합 보안’이 가능하도록 해야 한다.

Secure Boot 우회 취약점은 운영체제 상단 보안 통제를 무력화하는 근본적 위협이므로, 한국 정부는 데이터센터·클라우드 인증 체계에 펌웨어·UEFI 보안 항목을 추가하고, 마이크로소프트·리눅스 커뮤니티와의 협력을 통해 안전한 부트 체인을 보장해야 한다.

주요 용어: Secure Boot(부팅 시 신뢰된 서명만 실행하도록 강제하는 보안 기능), UEFI shim(리눅스 부트로더를 Secure Boot와 호환되게 만드는 중간 컴포넌트)

출처: The Hacker News