CROWNIX·ERS 파일 업로드 취약점, 우리 회사 보고서 서버도 위험할까? 패치 확인법

핵심 POINT

기업과 기관의 업무 시스템에는 보고서를 웹에서 조회하고 출력하는 솔루션이 들어가 있는 경우가 많습니다. 이런 솔루션은 업무 시스템 안에 내장돼 있어서, 관리자가 따로 설치했다는 사실을 잊고 있다가 보안 권고를 놓치기 쉽습니다.

KISA 보호나라는 2026년 11월 6일 「엠투소프트 제품 보안 업데이트 권고」를 게시했습니다. ERS DataServer와 ERS ReportingServer 엔진(JavaViewer)에서 악의적인 파일 업로드 및 실행이 가능한 취약점이 있고, 낮은 버전을 쓰는 사용자는 제조사의 해결 방안에 따라 조치하라는 내용입니다. 이번 글에서는 이 권고를 바탕으로 제품별 영향 버전, 우리 서버가 대상인지 확인하는 방법, 추가 조치, 악용 흔적 점검까지 차례대로 정리합니다.

■ KISA가 권고한 엠투소프트 보고서 솔루션 취약점 내용

출처: AI(ChatGPT) 생성 이미지

KISA 권고가 밝힌 취약점은 ERS DataServer와 ERS ReportingServer 엔진(JavaViewer)의 악의적인 파일 업로드 및 실행 가능 취약점입니다. 일반적으로 파일 업로드 취약점은 서버가 올라오는 파일을 제대로 걸러내지 못할 때 생깁니다. 공격자가 서버에서 실행되는 스크립트 파일을 올린 뒤 그 파일을 호출하면 서버에서 임의의 명령을 실행할 수 있어서, 보고서 서버가 업무 시스템의 침투 경로가 될 수 있습니다.

KISA 권고에는 CVE 번호가 적혀 있지 않습니다. 다만 Java 엔진의 영향 버전이 기존에 공개된 취약점과 일치합니다. CVE-2024-57338은 CROWNIX Report&ERS의 5.x에서 5.5.14.1070까지, 7.x에서 7.4.3.960까지, 8.x에서 8.2.0.345까지가 조작된 파일로 임의 코드를 실행할 수 있는 파일 업로드 취약점이라고 설명하며, CVEfeed 정리 기준으로 2025년 5월 28일 공개된 것으로 기록돼 있습니다. KISA 권고의 Java 엔진 영향 버전과 해결 버전 기준이 이 범위와 일치합니다. 다만 이번 권고가 같은 취약점을 다시 권고한 것인지, 관련된 문제를 함께 다룬 것인지는 권고 내용만으로 확정할 수 없어 제조사 확인이 필요합니다. ERS DataServer 항목은 해당 CVE 설명에 포함돼 있지 않습니다.

KISA 권고에는 실제 공격 피해 사례나 국내 피해가 언급돼 있지 않습니다. 그렇더라도 파일 업로드와 실행이 가능한 유형은 외부에서 접근할 수 있는 서버에서 영향이 커질 수 있으므로, 쓰고 있다면 버전부터 확인하는 것이 좋습니다.

■ 제품별 영향 버전과 해결 버전

출처: AI(ChatGPT) 생성 이미지

KISA 권고는 제품 계열마다 영향 버전과 해결 버전을 따로 적었습니다. ERS DataServer는 6.4.5, 7.4.4, 8.2.2 계열이 나뉘어 있고, ERS ReportingServer 엔진은 CROWNIX Report&ERS 6, 7, 8별로 Java 엔진 버전이 다릅니다. 같은 서버에 두 제품이 함께 있을 수 있으므로 각각 확인해야 합니다.

KISA 보호나라 권고(2026년 11월 6일) 기준입니다. 해결 버전은 엠투소프트에 문의한 뒤 설치하도록 적혀 있습니다.

■ 우리 서버가 대상인지 확인하는 방법

출처: AI(ChatGPT) 생성 이미지

가장 먼저 할 일은 우리 회사 어느 시스템이 이 제품을 쓰는지 찾는 것입니다. 보고서 기능은 별도 서버로 구성하기도 하지만, 업무 시스템을 만든 개발사가 웹 애플리케이션 안에 넣어 두는 경우도 많습니다. 자산 목록에 없다면 개발사나 시스템 구축 업체에 문의해 사용 여부를 확인합니다.

대상 서버를 찾았다면 제품과 엔진 버전을 위 표와 비교합니다. 정확한 버전을 확인하는 방법은 제품 구성에 따라 달라지고 KISA 권고에도 따로 적혀 있지 않으므로, 엠투소프트 기술지원이나 시스템 구축 업체의 도움을 받는 것이 안전합니다. KISA 권고에 적힌 엠투소프트 기술지원 연락처는 02-2188-8500(1번 연결)입니다.

버전과 별개로 서버에 남아 있는 파일도 점검합니다. 제품이 설치된 서버와 경로를 먼저 확인한 뒤 해당 위치에서 관리 폴더와 업로드용 파일이 있는지 봅니다. 아래 명령의 /path/to/DataServer와 /path/to/ReportingServer는 예시 경로이므로 실제 설치 경로로 바꿔 사용합니다.

find /path/to/DataServer -name 'uploadf.jsp' -print
find /path/to/DataServer -type d \( -name manager -o -name formmanager \) -print
find /path/to/ReportingServer -type d -name manager -print

윈도우 서버에서는 명령 프롬프트(CMD)에서 dir /s /b "C:\실제설치경로\uploadf.jsp"와 같이 설치 경로를 지정해 파일을 검색할 수 있습니다. 정확한 설치 경로는 운영환경에 따라 다르므로 실제 경로로 바꿔 입력해야 합니다. 권고에 적힌 이전 경로(./DataServer/manager 등)에 폴더가 있거나 uploadf.jsp가 남아 있다면 추가 조치 대상으로 보고 제조사에 문의합니다. 다만 파일이나 폴더가 검색된다는 사실만으로 취약점 악용 가능 여부를 확정할 수는 없으며, 제품·엔진 버전과 제조사 권고를 함께 확인해야 합니다.

■ KISA가 제시한 업데이트와 추가 조치

‍

KISA 권고는 해결 버전으로 업데이트한 뒤 아래 조치를 추가로 적용하라고 설명했습니다. 두 제품의 조치 내용이 다르므로 해당하는 제품만 적용합니다.

ERS DataServer

• 디렉터리 경로 변경. ./DataServer/manager를 ./DataServer/WEB-INF/manager로, ./DataServer/formmanager를 ./DataServer/WEB-INF/formmanager로 옮깁니다.

• 라이브러리 패치. 최신 버전 라이브러리 파일(ers-data-core.jar 등)을 받아 ./DataServer/WEB-INF/lib 경로에 덮어씁니다.

• 파일 제거. ./DataServer/uploadf.jsp를 삭제합니다.

ERS ReportingServer 엔진(JavaViewer)

• 디렉터리 경로 변경. ./ReportingServer/manager를 ./ReportingServer/WEB-INF/manager로 옮깁니다.

• 라이브러리 패치. 최신 버전 라이브러리 파일(javard.jar 등)을 받아 ./ReportingServer/WEB-INF/lib 경로에 덮어씁니다.

일반적으로 자바 웹 애플리케이션의 WEB-INF 폴더 안 파일은 브라우저에서 주소로 직접 요청할 수 없습니다. 관리용 폴더를 이 안으로 옮기는 조치는 외부에서 관리 기능에 바로 접근하지 못하도록 막으려는 것으로 볼 수 있습니다. KISA 권고에는 자세한 내용은 엠투소프트에 문의하라고 적혀 있으므로, 운영 서버에 적용하기 전에 백업과 테스트를 거치고 제조사 권고를 따르는 것이 좋습니다.

■ 업로드 취약점이 악용됐는지 확인하는 로그와 파일 점검

‍

이미 영향 버전을 오래 운영해 왔다면 업데이트 전에 악용 흔적부터 살펴볼 필요가 있습니다. 아래 내용은 이번 엠투소프트 권고에서 공식 침해지표로 제시한 항목이 아니라, 일반적인 파일 업로드 취약점의 악용 가능성을 확인하기 위한 점검 예시입니다. 정상적인 업무 요청과 공격 시도를 구분하려면 로그, 파일 생성 이력, 프로세스 실행 기록 등을 종합적으로 분석해야 합니다. KISA가 같은 주에 게시한 다른 파일 업로드 권고(지란지교소프트 CrossUploader, 11월 3일)도 웹 접근 로그에서 업로드 파일의 호출 이력을 확인하고 업로드 경로에 JSP 같은 비정상 스크립트가 생겼는지 점검하라고 권고했습니다.

• 웹 접근 로그. uploadf.jsp 호출 기록과 manager, formmanager 경로로 들어온 요청이 있는지 봅니다. uploadf.jsp는 KISA가 제거 대상으로 명시한 파일이지만, 호출 기록이 있다는 사실만으로 침해사고가 발생했다고 판단할 수는 없습니다.

• 서버 안의 스크립트 파일. 서비스 폴더와 업로드된 파일이 저장되는 경로에 jsp, jspx 같은 서버 스크립트 파일이 최근에 생기지 않았는지 확인합니다.

• 최근 수정된 파일. 제품 폴더 안에서 설치 시점과 맞지 않는 시각에 바뀐 파일이 없는지 살핍니다.

• 비정상 프로세스와 외부 통신. 웹 서버 계정으로 실행된 낯선 프로세스나 외부로 나가는 접속이 없는지 확인합니다.

이상한 흔적이 보인다면 서버를 바로 초기화하기보다 로그와 파일을 보존한 채 침해사고로 보고 대응해야 합니다. 서버 안의 로그는 공격자가 지울 수 있으므로 별도 로그 서버에 보관된 기록이 있는지도 함께 확인합니다.

■ 기업이 함께 점검할 보고서·업로드 기능 운영 환경

‍

이번 권고는 제품 하나에 대한 것이지만, 점검 범위는 보고서 서버에 그치지 않습니다. 아래 환경을 함께 살펴봅니다.

• 외부에서 접근할 수 있는 보고서·뷰어 서버. 인터넷에서 직접 접속되는지, 접속이 필요한 주소만 열려 있는지 확인합니다.

• 업무 시스템에 내장된 보고서 모듈. 개발사와 구축 업체에 어떤 제품과 버전이 들어 있는지 목록으로 받아 둡니다.

• 업로드 기능 전반의 통제. KISA는 지란지교소프트 CrossUploader 권고에서 업무에 필요한 파일 확장자만 허용하고, 업로드 요청의 사용자 인증과 권한을 검증하며, 서버에서 파일 확장자와 내용을 다시 검사하고, 업로드 파일을 웹에서 직접 접근할 수 없는 경로에 저장하며, 업로드 폴더에서 스크립트 실행을 막으라고 권고했습니다. 어느 제품이든 업로드를 받는 서버라면 같은 기준을 적용할 수 있습니다.

• 관리 기능의 노출. 관리용 폴더와 페이지가 외부에서 접근되지 않도록 접근통제를 확인합니다.

• 오래된 버전. 영향 버전보다 훨씬 낮은 계열을 쓰고 있다면 제조사의 지원 여부와 업그레이드 계획을 함께 확인합니다.

SK쉴더스는 취약점 진단과 모의해킹으로 웹 애플리케이션의 파일 업로드 취약점과 관리 기능 노출을 점검하고, 보안관제와 침해사고 대응 서비스로 이상 징후 탐지와 사고 분석을 지원하고 있습니다.

■ 자주 묻는 질문

‍

Q. 이번 KISA 권고는 새롭게 발견된 취약점인가요?

A. KISA 권고에는 CVE 번호와 발견 시점이 적혀 있지 않습니다. Java 엔진의 영향 버전은 2025년 5월 공개된 것으로 기록된 CVE-2024-57338의 범위와 일치하지만, 동일한 취약점에 대한 재권고인지는 권고만으로 확정할 수 없습니다. 정확한 경위는 엠투소프트에 문의해 확인하는 것이 좋습니다.

Q. 해결 버전으로 업데이트만 하면 되나요?

A. 아닙니다. KISA 권고는 업데이트와 함께 관리 폴더의 경로 변경, 라이브러리 패치, DataServer의 uploadf.jsp 제거를 추가로 적용하라고 설명했습니다.

Q. 해결 버전을 직접 내려받아 설치할 수 있나요?

A. KISA 권고에는 해결 버전을 엠투소프트에 문의한 뒤 설치하라고 적혀 있습니다. 기술지원 연락처도 권고문에 함께 실려 있습니다.

Q. 실제 공격 피해가 보고됐나요?

A. KISA 권고에는 실제 공격 피해나 국내 피해 사례가 언급돼 있지 않습니다. 다만 영향 버전을 쓰고 있다면 악용 흔적 점검을 함께 하는 것이 좋습니다.

Q. uploadf.jsp를 지우면 서비스에 문제가 생기나요?

A. KISA 권고는 ERS DataServer의 uploadf.jsp를 제거 대상으로 제시했지만, 서비스에 미치는 영향은 적혀 있지 않습니다. 운영 서버에 적용하기 전에 백업과 테스트를 하고 제조사에 문의하는 것이 안전합니다.

[콘텐츠 출처]

KISA 보호나라, 엠투소프트 제품 보안 업데이트 권고 (2026.11.06)

CVEfeed, CVE-2024-57338 M2Soft CROWNIX Report&ERS (공개일 2025.05.28)

KISA 보호나라, 지란지교소프트 제품 보안 조치 권고 (2026.11.03)