Create 기능없이 Read만 되는 app이더라도, 배포 시 보안 및 악용 문제가 생길 수 있나요?

Question

현재는 저희 집ip만 접근가능한 상태이고요, 위치무관하게 접근하게 해볼까했다가 걱정되서 질문드립니다. 우선 현재 제가 사용하는 서버는 AWS EC2 서버이고, ~.pem 의 key를 통해서만 접근가능한 초기 상태입니다. 그리고 제가 배포하고자 하려는 app는 일부로 삽입(혹은 Create)기능들은 모두 빼고, 소박하게 DB연동해서 DB에서 text들만 Read하는 기능이 전부입니다. 그럼에도 불구하고, 인바운드 설정을 아래와같이 설정했을 때,(위치무관 그리고 8080 포트 한정) 서버 사용 권한을 뺏길수있나요? url로 제 app 돌아다니거나, 컨트롤러 없는 url이면 error 404 외에는 제공된 기능이 없는 것 같은데 흔히 서버 잘못 관리했을 시 생기는 문제로 가상화폐 채굴로 쓰이고 돈날리는 일이 생길 수 있나요? 그렇지 않다면 대단한 앱은 아니지만, 제 개인적인 의미로 이렇게 ip 무관하게 접근하도록 하고 앱 배포해보면 저 스스로 '그렇게 미루던 일 드디어 했구나'하면서 저에겐 좀 의미가 있을 것 같아서 재차 묻습니다. ps혹시나 해서 톰캣 manager 화면으로 접근해보니, 이미 ROOT.war를 실행해서 그런가 ~8080/manager 접근 시 error 403You are not authorized to view this page.By default the Manager is only accessible from a browser running on the same machine as Tomcat. If you wish to modify this restriction, you'll need to edit the Manager's context.xml file.이뜹니다.

siyex42080 · Answer

읽기만 가능한 앱이더라도 RCE (remote code execution) 취약점은 있을 수 있습니다. 예를 들면 최근에 큰 문제가 됐었던 Log4Shell 같은 경우가 Log4j가 로깅에 사용되었다는 것 만으로도 (읽기만 가능한 앱이더라도) RCE가 가능했습니다. RCE가 된다면 말씀하신 가상화폐 채굴 등도 쉽게 가능합니다.

Create 기능없이 Read만 되는 app이더라도, 배포 시 보안 및 악용 문제가 생길 수 있나요?

1개의 답변

#deploy 목록