지오서버 제로데이 패치 버전 정리 — 공개 이틀 만에 수백 건 공격 탐색
지오서버(GeoServer) 제로데이 SQL 인젝션 취약점, 어떤 버전이 위험하고 어디까지 올려야 안전한지와 당장 해야 할 점검 순서를 표로 정리했습니다.
지오서버(GeoServer)를 쓰고 있다면 3.0.1 · 2.28.5 · 2.27.6 중 자기 계열의 최신 버전으로 올리는 것이 지금 할 일입니다. 8월 12일 취약점이 공개된 뒤 이틀 만에 수정판이 나왔지만, 그 사이 인터넷에서는 이미 취약 서버를 찾는 탐색이 수백 건 관측됐습니다.
지오서버는 지도·공간정보를 웹으로 뿌려 주는 오픈소스 서버입니다. 공공기관 지도 서비스나 위치 기반 데이터 화면 뒤에 조용히 돌아가는 경우가 많아, “우리가 쓰는지도 몰랐다”가 가장 흔한 사고 원인입니다.
무슨 취약점인가 — 핵심만 먼저
공개된 문제는 OGC 필터의 jsonArrayContains 기능에서 입력값을 이스케이프 없이 SQL에 넣어 버리는 인증 없는 SQL 인젝션(로그인 없이 DB 명령을 끼워 넣는 공격)입니다. DB 계정 권한이 높거나 특정 DB 구성에서는 원격 코드 실행(RCE)까지 이어질 수 있다고 알려졌습니다. 심각도는 CVSS 9.8로, 사실상 최고 등급입니다.
취약점 자체보다 무서운 건 속도입니다. 공개 몇 시간 만에 소수 IP에서 대량의 탐색 요청이 들어왔고, 대부분은 아직 “취약한지 찔러 보는” 단계였습니다. 패치보다 공격이 먼저 도착하는 이 구조는 제로데이 공격 뜻과 대비법에서 정리한 흐름과 정확히 같습니다.
| 시점(2026년) | 상황 |
|---|---|
| 8월 12일 | 연구자가 X에 취약점 공개 (CVE 미부여 상태) |
| 공개 당일 | 수백 건 규모의 취약 서버 탐색 관측 |
| 8월 14일 | GeoServer·GeoTools 수정 버전 배포 |
내 서버가 해당되나 — 조건 확인
이번 문제는 모든 지오서버가 아니라 특정 조건에서 성립합니다.
| 확인 항목 | 위험 신호 |
|---|---|
| 데이터 저장소 | PostGIS 기반 DataStore 사용 |
| 필드 형태 | String 또는 JSON 필드 존재 |
| 사용 기능 | OGC 필터의 jsonArrayContains 사용 가능 |
| 노출 범위 | 지오서버 웹 인터페이스·서비스가 인터넷에 공개 |
네 가지가 겹칠수록 우선순위가 높습니다. 다만 세부 성립 조건(특히 데이터베이스 버전 표기)은 공식 보안 권고문 표현이 기준이므로, 판단이 애매하면 GeoServer·GeoTools의 공식 릴리스 노트와 보안 권고를 직접 확인하는 편이 정확합니다.
어디까지 올려야 하나 — 버전 표
| 구분 | 조치 |
|---|---|
| GeoServer | 3.0.1 / 2.28.5 / 2.27.6 중 사용 계열의 수정 버전 |
| GeoTools (gt-jdbc-postgis) | 35.1 / 34.5 / 33.6 |
| 식별번호 | GHSA-mqjf-5f49-2fjh (CVE는 미부여 상태로 공개됨) |
직접 빌드해 쓰는 환경이라면 지오서버 버전만 보지 말고, 안에 들어가는 GeoTools 라이브러리 버전까지 함께 확인해야 합니다. 이번 결함이 라이브러리 쪽에 있었기 때문입니다.
흔히 놓치는 지점
- “내부망이라 괜찮다” — 지오서버는 지도 타일을 외부에 뿌리려고 두는 경우가 많아, 본인 생각보다 공개돼 있는 사례가 잦습니다. 실제 노출 여부를 포트·URL로 확인하세요.
- 패치만 하고 로그를 안 본다 — 공개 시점부터 패치 적용 전까지가 공백입니다. 그 구간의 요청 로그에 비정상적인 필터 파라미터가 있는지 확인이 필요합니다.
- DB 계정 권한 방치 — 지오서버가 쓰는 DB 계정에 불필요한 관리자 권한이 있으면 피해 범위가 급격히 커집니다. 최소 권한으로 조정해 두면 다음 취약점 때도 방어선이 됩니다.
- 과거 취약점이라 안심 — 이번 건은 2023년에 고쳐졌던 OGC 필터 인젝션 결함(CVE-2023-25158)이
jsonArrayContains함수에서 되돌아온(회귀) 형태로 지목됐습니다. “예전에 패치했다”는 기억은 근거가 되지 못합니다.
정리 — 오늘 확인할 체크리스트
- 사내·위탁 시스템에 지오서버가 쓰이는지 확인 (외주 개발사에 문의 포함)
- 현재 버전과 GeoTools 버전 확인 후 수정 버전으로 업데이트
- 인터넷에 직접 노출된 관리 화면이 있으면 접근 제한(IP 허용목록 등) 적용
- 8월 12일 이후 접속 로그에서 비정상 필터 요청 흔적 점검
- 지오서버용 DB 계정 권한을 최소 권한으로 재조정
- 최신 조치 사항은 GeoServer 공식 사이트의 릴리스·보안 공지에서 재확인
취약점 공개와 공격 사이의 간격은 계속 짧아지고 있습니다. 이번처럼 하루 이틀 안에 승부가 나는 상황에서는, 완벽한 대응책보다 버전 확인과 노출 차단 두 가지를 먼저 끝내는 속도가 실제 피해를 가릅니다.
자주 묻는 질문
패치가 나왔다면 이제 안전한가요?
패치를 '적용해야' 안전합니다. 취약점 정보가 공개된 시점부터 인터넷에 노출된 서버는 이미 스캔 대상이 됐기 때문에, 업데이트 전까지의 접속 기록도 함께 점검하는 것이 안전합니다. 패치만 올리고 로그 확인을 건너뛰면 이미 들어온 흔적을 놓칠 수 있습니다.
우리 회사는 지오서버를 안 쓰는데 신경 쓸 필요가 있나요?
직접 안 써도 외주로 만든 지도·공간정보 서비스 안에 포함돼 있는 경우가 있습니다. 지자체·공공기관 지도 서비스나 위치·환경 데이터 시각화 시스템에 널리 쓰이므로, 위탁 개발사에 '지오서버 사용 여부와 버전'을 한 번 문의해 두는 것이 좋습니다.
CVE 번호가 없는 취약점은 덜 위험한 건가요?
아닙니다. CVE는 식별번호를 붙이는 절차일 뿐이고, 부여 전에도 공격은 가능합니다. 이번 건도 CVE 없이 깃허브 보안 권고(GHSA) 번호로 먼저 알려졌고 심각도 점수는 최고 수준으로 매겨졌습니다. 번호 유무가 아니라 '공격 가능 여부'를 기준으로 판단해야 합니다.