[해외보안뉴스] MarkLogic 서버에서 치명적 취약점 발견…위임 관리자의 관리자 권한 탈취 위험
· 2026-10-13 11:00
· 조회 15
· 원문 ↗
Progress Software의 멀티모델 데이터베이스 솔루션인 MarkLogic Server에서 총 31개의 보안 취약점이 새롭게 공개되었습니다. 특히 이 중 2개의 치명적인 취약점은 일부 관리 권한만 부여받은 계정이 시스템의 최고 관리자(Admin) 권한을 영구적으로 탈취할 수 있도록 허용하는 것으로 확인되었습니다.
Progress 측은 공개된 31개의 취약점 중 5개에 대해 '치명적(Critical)' 위험 등급을 부여했습니다. 권한이 제한된 위임 관리자 계정이 전체 데이터베이스 서버에 대한 통제권을 확보할 수 있다는 점에서, 엄격한 권한 분리가 필요한 엔터프라이즈 환경에 심각한 보안 위협이 될 수 있습니다.
해당 보안 문제에 대한 패치는 이미 배포된 상태입니다. Progress는 지난 9월 10일 출시된 MarkLogic 11.3.7 및 MarkLogic 12.1.0 버전을 통해 수정 사항을 적용했습니다. 따라서 MarkLogic Server를 운용 중인 시스템 관리자는 권한 상승 공격을 예방하기 위해 즉시 최신 보안 버전으로 업데이트해야 합니다.
♥ 추천 0
부분 권한을 가진 계정이 영구적인 Admin 권한을 획득할 수 있는 권한 승격(Privilege Escalation) 취약점으로, RBAC 설계 시 권한 경계 검증이 미흡했던 전형적인 사례입니다. MarkLogic을 사용 중이라면 이미 공개된 최신 패치 버전(11.3.7, 12.1.0)으로 즉시 업그레이드해야 합니다. 자체 서비스 개발 시에도 위임 권한 모듈 구현 시 하위 관리자가 상위 시스템 API나 리소스에 접근하지 못하도록 권한 검증 로직을 철저히 격리(Isolation)해야 합니다.
위임된 최소 관리자 권한만으로 서버 전체의 최고 권한(Admin)을 탈취하고 영구적인 제어권을 확보할 수 있다는 점에서 권한 상승(Privilege Escalation) 공격 벡터로서의 가치가 매우 높습니다. 초기 침투 후 이미 확보한 저권한 계정을 활용해 경계 방어를 우회하고, 데이터베이스 내부에서 지속성(Persistence)을 확보하기에 최적의 조건입니다. 기업의 권한 분리 정책을 무력화하는 취약점인 만큼, 실제 침투 테스트의 내부망 이동(Lateral Movement) 단계에서 공격자가 가장 우선적으로 악용할 만한 치명적인 타깃입니다.
위임된 권한이 영구적인 최상위 관리자 권한으로 승격되는 이번 취약점은 최소 권한 원칙(Least Privilege)을 위협하는 심각한 리스크입니다. 패치가 이미 발표된 만큼 MarkLogic을 사용하는 내부 자산을 즉시 식별하여 긴급 패치를 완료해야 합니다. 차제에 위임 관리자 계정에 대한 이상 행위 모니터링과 특권 권한 관리(PAM) 거버넌스를 전면 재점검하겠습니다.