알려진 컴포넌트 취약점
소프트웨어 프로그램은 보통 오픈소스 라이브러리나 프레임워크 같은 외부 자료를 가져와 활용합니다. 여기에 이미 알려진 취약점이 있는데도 동일한 버전을 계속 사용하는 경우 공격자는 공개된 취약점 정보를 이용해서 개발된 프로그램에 쉽게 침입할 수 있습니다.
따라서 알려진 컴포넌트 취약점은 해당 취약점이 포함된 자료의 업데이트를 미루거나 사용 중인 오픈소스 라이브러리의 SBOM 목록을 제대로 관리하지 않는 경우에 발생합니다. 이를 통해 공격자는 결과적으로 알려진 방법으로 시스템을 장악하거나 정보를 탈취할 수 있습니다. 알려진 컴포넌트 취약점은 라이브러리를 최신 버전으로 주기적으로 업데이트하고 취약점 스캔 도구를 사용하는 등 지속적인 관리를 통해 해결할 수 있습니다.
대표 사례는 다음과 같습니다. 2017년 미국 신용정보회사 Equifax가 오래된 Apache Struts 취약점 때문에 대규모 개인정보 유출을 겪었던 사건이 대표적으로 알려진 컴포넌트 취약점 사고입니다. 또한 2021년 Java 로깅 라이브러리 Log4j의 취약점(Log4Shell)은 전 세계 수많은 서비스에 영향을 주었고, 패치가 공개된 뒤에도 업데이트하지 않은 시스템이 계속 공격받았습니다.

