미해결 취약점 48건 제보…23건 보안패치로 이어져
핵심 요약
- 고려대 이희조·우승훈 교수 연구팀이 오픈소스 코드의 다단계 재사용 경로를 추적하는 GANADI를 개발했다. 깃허브 주요 C/C＋＋ 프로젝트 2500개에 적용해 보안 점검 대상을 약 90% 줄였다.
고려대학교 이희조·우승훈 컴퓨터학과 교수 연구팀이 오픈소스 코드의 재사용 경로를 추적하는 기술 GANADI를 개발했다. 코드가 여러 소프트웨어를 거쳐 전달되는 계보를 복원해 보안 점검 대상을 약 90% 줄였다.
11월 10일 고려대에 따르면 연구팀은 깃허브(GitHub)의 주요 C/C＋＋ 프로젝트 2500개를 분석하고 GANADI를 기존 취약점 탐지 기술에 적용했다. 실제 코드 재사용 경로로 연결된 프로젝트의 취약점만 골라 점검 범위를 좁혔으며, 미해결 취약점 48건을 발견해 제보했다. 이 중 23건이 수정됐다.
앞서 개발한 CENTRIS가 소프트웨어에 포함된 오픈소스 구성요소를 식별했다면, GANADI는 코드가 어떤 프로젝트를 거쳤는지까지 추적한다. 원본에서 고친 취약점이 다른 소프트웨어에 남거나 수정 중 생긴 취약점이 재사용을 통해 퍼지는 문제에 대응한다. 연구팀은 레디스(Redis)가 루아(Lua) 소스코드를 가져와 수정하면서 생긴 취약점이 다른 소프트웨어로 확산된 사례도 확인했다.
연구 성과는 10월 15일 독일 뮌헨에서 열린 소프트웨어공학 분야 국제학술대회 ASE 2026에서 제1저자인 김동연 컴퓨터학과 석사과정이 발표했다.
이희조 교수는 "이번 연구가 실제 보안패치로 이어진 것처럼 앞으로도 소프트웨어 구성 정보를 기록하는 SBOM 기술과 연계해 실질적인 보안 개선으로 이어질 수 있도록 노력하겠다"고 말했다.
이번 연구는 과학기술정보통신부 재원으로 정보통신기획평가원(IITP)의 정보보호핵심원천기술개발사업 지원을 받았다. 이 교수는 10월 9일 '안전한 공급망을 위한 SBOM 기술 개발' 연구로 일본 오카와재단의 2026년 해외 연구지원 대상에도 선정됐다.
