[속보] MapRoulette, 보안 취약점 긴급 패치…API 키 인증 중단

오픈스트리트맵(OSM) 지도 편집 작업을 관리하는 MapRoulette가 한국시간 9일 공개한 공식 GitHub 릴리스 노트에서 백엔드 v4.11.0의 긴급 보안 수정을 알렸다. 운영 서비스인 maproulette.org에는 이미 패치가 적용됐으며, 자체 서버를 운영하는 이용자에게는 가능한 한 빨리 새 버전으로 업데이트할 것을 권고했다.

이번 수정에는 공개 API에서 사용자 객체를 반환할 때 민감한 필드를 제외하는 조치가 포함됐다. 작업 검색, 댓글 조회, 작업 검토, 첨부파일 조회 등 여러 경로의 SQL 삽입 취약점도 고쳤다. SQL 삽입은 입력값을 통해 데이터베이스 질의에 의도하지 않은 명령을 끼워 넣는 공격 방식이다.

이용자와 외부 도구에 직접 영향을 주는 변화는 API 키 인증의 전면 중단이다. 해당 수정의 공식 커밋 설명에 따르면, 기존에는 MapRoulette API 키가 OSM 사용자 설정에 저장됐다. 이 설정을 읽을 권한을 받은 다른 애플리케이션이 키를 가져가 MapRoulette 계정으로 접근하고, 저장된 OSM 토큰까지 확보할 수 있는 구조였다. 개발자는 이런 권한 확대 경로를 차단하기 위해 API 키 인증을 우선 비활성화했다고 설명했다.

그 결과 Rapid와 JOSM 등 외부 편집기의 MapRoulette 연동과 API 키를 사용하는 자동화 작업이 영향을 받는다. 커밋 설명은 외부 편집기에서 작업 완료 상태를 갱신하거나 스크립트로 챌린지를 관리하던 흐름이 중단된다고 명시했다. 이는 편집기 자체의 모든 지도 편집 기능이 중단된다는 의미는 아니다.

세션 관리도 바뀌었다. 로그인 쿠키에는 OSM 토큰 원문 대신 해시값을 저장하고, 쿠키를 HTTPS 연결에서만 보내도록 했다. 기본 세션 만료 기간은 30일로 설정했으며, 다른 사이트에서 발생한 요청에 대한 쿠키 정책도 강화했다. 빈 슈퍼 키를 비활성 상태로 처리하고, 서버 오류 응답에서 내부 스택 추적을 노출하지 않도록 하는 수정도 포함됐다.

개발자는 외부 편집기 연동을 위한 제한된 토큰 인증과 자동화 이용자를 위한 개인 액세스 토큰을 대안으로 제안했다. 다만 커밋에서는 향후 구현 방향으로 설명한 만큼, 이번 릴리스에서 기존 API 키를 대체하는 인증 기능이 제공된 것으로 볼 수는 없다. 자체 서버 운영자는 보안 업데이트와 함께 API 키에 의존하는 연동 작업을 점검할 필요가 있다.

출처: MapRoulette 백엔드 v4.11.0 공식 릴리스 노트 https://github.com/maproulette/maproulette-backend/releases/tag/v4.11.0
MapRoulette API 키 인증 중단 공식 커밋 https://github.com/maproulette/maproulette-backend/commit/7a8cdb17f3a4de96913644562693b7666d34f63f
MapRoulette 공식 프로젝트 문서 https://github.com/maproulette/maproulette3