[보안뉴스 호애진] 한 보안 전문가가 페이스북 메시징 시스템의 취약점을 발견했다.

이 취약점을 이용하면 페이스북의 소셜 네트워크 상에서 누구에게나 메시지에 실행 파일(.exe)을 첨부해 보낼 수 있다.

원래 페이스북은 이런 유형의 보안 위협이 발생하지 않도록 나름대로 철저히 대비했다. 설계 자체가 실행 파일이 첨부된 메시지는 전송할 수 없도록 돼 있다. 따라서 실행 파일을 첨부해 보내면 오류 메시지가 뜬다. 

그러나 시규리티펜테스트닷컴(SecurityPentest.com)의 네이던 파워(Nathan Power)는 실행 파일을 하나 첨부해 보냈고 페이스북의 웹 서버로 POST 요청이 전송되는 것을 포착했다.

페이스북 시스템에서는 파일 이름에 대해 단순히 파싱(구문분석)을 행해 파일의 허용 여부를 결정했던 것이다. 예컨대 “cmd.com”에 공백을 하나 추가해 “cmd.com ”으로 만들기만 해도 페이스북의 보안 메커니즘은 간단히 무너진다.