8월 15일 새벽(한국시간) 올라온 클로드 코드 v2.1.233이, `\\서버\공유` 같은 원격 경로를 걸러 내던 윈도우 경로 검사를 NT 장치 접두사 `\??\` 로 적은 경로가 그대로 통과하던 구멍을 막았어요 — NTLM 인증 정보가 새 나가는 길이었다고 릴리스 노트에 적혀 있어요. 윈도우는 원격 공유에 닿는 순간 지금 로그인한 계정의 인증 정보를 자동으로 보내고, 그 값은 오프라인에서 깨거나 같은 사내망의 다른 서버로 되던지는 데 쓰여요. 다만 앤트로픽은 이 건에 CVE도 보안 권고도 붙이지 않아 공개된 근거는 릴리스 노트 한 줄뿐이고, 같은 판에서는 리눅스에서 샌드박스를 켜 두면 아무 일도 안 하는 세션이 CPU 코어 하나를 100%로 물고 있던 문제도 함께 고쳤어요.
용어 풀이
- NTLM
- 윈도우가 쓰는 오래된 로그인 인증 방식. 비밀번호 대신 해시값을 주고받아, 가로채면 깨거나 그대로 되던져 쓸 수 있다
- UNC
- `\\서버\공유` 처럼 다른 컴퓨터의 공유 폴더를 가리키는 윈도우 경로 표기법
- SMB
- 윈도우가 파일·프린터를 네트워크로 공유할 때 쓰는 통신 규약
- CVE
- 공개된 보안 취약점에 붙는 국제 공통 식별 번호
운영자 인사이트
윈도우 개발 장비에서 클로드 코드를 돌린다면 미룰 이유가 없는 업데이트예요 — NTLM 인증 정보는 한 번 새면 그 장비 한 대로 끝나지 않고 같은 사내망의 다른 서버로 되던져지는 재료라, 도메인에 물린 회사 장비일수록 파장이 커요. 다만 CVE도 보안 권고도 없어 어떤 입력에서 실제로 터졌는지는 공개되지 않았고, 근거로 댈 수 있는 건 릴리스 노트 한 줄뿐이에요.
여러 관점으로 보기
- 원문 릴리스 노트 `\??\` 장치 접두사로 적은 윈도우 경로가 UNC 검사를 우회하던 걸 막아 NTLM 인증 정보 유출 경로를 닫았다고, 딱 한 줄로 적혀 있어요. GitHub
- 이 검사가 원래 왜 있었나 3월에 나온 소스맵 복원 코드 분석에서도 UNC 경로 차단은 'NTLM 인증 정보 유출 공격을 막는' 장치로 정리돼 있어요 — 이번에 뚫린 게 새로 만든 방어는 아니라는 뜻이에요. Zainan Victor Zhou 블로그
- NTLM이 새면 실제로 무슨 일이 생기나 윈도우는 SMB 자원에 붙을 때 지금 로그인한 사용자의 인증 정보를 자동으로 보내고, 공격자는 그 값을 오프라인에서 깨거나 릴레이 공격으로 같은 내부망 다른 시스템에 들어가는 데 써요. MITRE ATT&CK