RabbitMQ ‘OAuth·메타데이터 노출’ 취약점… 한국 공공 클라우드 메시징 인프라 위험 확대

멀티테넌트 큐에서 토큰·메타데이터가 교차 노출 가능… 정부·금융 메시지 브로커 보안 점검 필요

• 더해커뉴스는 오픈소스 메시지 브로커 RabbitMQ에서 OAuth 클라이언트 시크릿과 큐 메타데이터가 노출될 수 있는 다수 취약점이 발견되어, 멀티테넌트 환경에서 테넌트 간 데이터가 교차 노출될 위험을 경고하였다.
• 취약점은 관리 인터페이스와 플러그인 구성 오류를 악용해 비인가 사용자가 큐 설정 정보와 OAuth 자격 증명에 접근할 수 있게 만들며, 공격자는 이를 이용해 메시지 가로채기·삭제·임의 게시 등 서비스 교란을 수행할 수 있다.
• RabbitMQ는 금융·공공·클라우드 네이티브 서비스에서 마이크로서비스 간 메시지를 전달하는 핵심 인프라로 널리 사용되고 있어, 취약점 방치는 정부 서비스·결제·인증 흐름에 광범위한 장애를 유발할 가능성이 있다.
• 한국 공공·금융·핀테크 분야에서 RabbitMQ·유사 메시지 브로커를 사용하는 사례가 늘고 있는 만큼, 정부는 메시징 인프라를 ‘주요 정보통신시설’ 수준으로 관리하고, 구성 점검·비밀 관리·테넌트 분리 기준을 보안 가이드에 명시해야 한다.
• 또한 클라우드 사업자·SI 업체와 협력해 RabbitMQ 취약점 패치·구성 검증을 지원하고, 향후 국가 디지털 인프라 설계 시 메시지 브로커 보안 요구사항을 조달·인증 기준에 반영하는 것이 필요하다.

RabbitMQ 취약점은 눈에 잘 보이지 않는 메시징 계층이 국가 디지털 인프라의 약한 고리가 될 수 있음을 보여주므로, 한국은 메시지 브로커를 포함한 중간 계층 플랫폼을 별도 보호 대상으로 지정해 정기 점검·보안 인증을 의무화해야 한다.

주요 용어: RabbitMQ(오픈소스 메시지 브로커로 마이크로서비스 간 메시지 전달을 담당하는 플랫폼), OAuth(외부 서비스 간 안전한 인증·권한 부여를 위한 표준 프로토콜)

출처: The Hacker News