프로젝트 캐노피, 전자정부 표준프레임워크 취약점 990건 식별하고 300여 건 패치

사단법인 프로젝트 플라즈마가 운영하는 공익 AI 보안 이니셔티브 프로젝트 캐노피, 전자정부 표준프레임워크의 공통 컴포넌트를 전수 분석한 첫 결과 공개. AI 기반 자동화 분석 엔진이 탐지한 약 1,300건의 후보에서 중복과 오탐 가능성이 높은 항목을 제거해 구조적 결함과 보안 취약점 990건을 최종 식별하고, 이 가운데 300여 건의 패치 완료.

확인된 취약점에는 비밀번호 없이 다른 계정으로 접근할 수 있는 인증 우회, 일반 사용자가 서버 권한으로 데이터베이스 명령을 실행할 수 있는 임의 SQL 실행, 고정 암호키 노출을 이용한 파일 탈취, 객체 접근 권한을 제대로 검사하지 않는 IDOR·BOLA 등이 포함됨. 전체 식별 항목의 약 10%는 ‘심각’ 또는 ‘높음’ 위험 등급으로 분류됨.

전자정부 표준프레임워크의 공통 컴포넌트가 일반적인 외부 라이브러리처럼 중앙에서 버전을 갱신하는 방식이 아니라, 소스 코드를 개별 시스템에 복사해 사용하는 경우가 많다는 구조적 문제도 지적됨. 원본 개발 브랜치에 보안 패치가 반영되더라도 이미 구축된 공공·민간 시스템에는 자동으로 전달되지 않아 취약한 코드가 그대로 남는 이른바 ‘패치 고립’ 현상이 발생할 수 있음. 따라서 300여 건의 패치 완료는 모든 운영 시스템의 취약점이 해소됐다는 의미가 아니라, 각 시스템 운영기관이 별도로 수정 사항을 확인하고 적용해야 하는 단계임.