[해외보안뉴스] Cloudflare, 타 고객의 잔여 디스크 데이터를 노출하는 컨테이너 취약점 패치
· 2026-09-25 07:00
· 조회 20
· 원문 ↗
Cloudflare가 자사의 'Cloudflare Containers' 서비스에서 동일한 서버를 사용하는 다른 고객의 잔여 디스크 데이터를 읽을 수 있었던 보안 취약점을 해결했다고 발표했습니다. 해당 결함은 외부 보안 연구원들에 의해 발견되어 Cloudflare에 제보되었으며, 현재는 보안 조치가 완료된 상태입니다.
Cloudflare에 따르면 이번에 노출 가능성이 확인된 데이터는 현재 실행 중인 실시간 워크로드가 아니라, 이전 컨테이너가 사용한 뒤 시스템에 반납한 디스크 공간에 남아 있던 잔여 데이터입니다. 또한 공격자가 특정 타깃 고객을 지정하여 데이터를 탈취할 수는 없었으며, 동일한 물리적 서버 내에 무작위로 남겨진 데이터에만 접근할 수 있었습니다.
Cloudflare는 취약점 보고를 받은 즉시 컨테이너 재할당 과정에서 디스크 공간을 완전히 초기화하고 소거하도록 플랫폼을 수정했습니다. 현재 모든 서버에 패치가 적용되어 사용자들의 추가 대응 조치는 필요하지 않으나, 클라우드 멀티테넌트 환경을 사용하는 기업들은 데이터 잔류 및 격리 메커니즘을 주기적으로 점검할 필요가 있습니다.
♥ 추천 0
멀티테넌트 환경에서 컨테이너 수명주기(Lifecycle) 종료 후 디스크 블록 초기화(Zeroing)가 누락되어 발생한 전형적인 데이터 잔류(Data Remanence) 취약점입니다.
인프라 레이어에서 컨테이너 해제 시 스토리지를 물리적으로 제로필(Zero-fill)하거나, 테넌트별 전용 키 기반의 블록 암호화를 적용해 스토리지 반납 즉시 데이터 접근을 무효화하는 아키텍처적 방어선이 필수적입니다.
클라우드 인프라를 구축할 때 임시(Ephemeral) 스토리지라 할지라도 테넌트 간 격리 메커니즘과 자원 반납 프로세스를 얼마나 철저히 검증해야 하는지 보여주는 사례입니다.
멀티테넌트 환경에서 인스턴스 해제 후 디스크 초기화 미흡으로 발생하는 전형적인 데이터 잔류(Data Remanence) 공격 벡터입니다. 공격자가 특정 타깃을 직접 지정할 수는 없더라도, 자동화 스크립트로 컨테이너를 반복 생성하며 할당받은 디스크 영역을 덤프하면 API 키나 인증 토큰 같은 고가치 자산을 무작위로 탈취할 수 있습니다. 공격자 입장에서는 복잡한 익스플로잇 없이도 클라우드 인프라의 허점을 이용해 유의미한 정보 수집(Reconnaissance)을 수행할 수 있었던 위협적인 보안 허점입니다.
이번 사례는 클라우드 멀티테넌시(Multi-tenancy) 환경에서 데이터 잔류(Data Remanence)로 인한 보안 리스크를 명확히 보여줍니다. 조직은 클라우드 제공업체의 격리 기술에만 의존할 것이 아니라, 중요한 데이터에 대해 '저장 데이터 암호화(Encryption at Rest)' 정책을 기본 적용해야 합니다. 거버넌스 차원에서 현재 이용 중인 CSP들의 데이터 폐기 프로세스 및 멀티테넌트 격리 정책에 대한 리스크 평가를 즉시 재점검하겠습니다.