파일 업로드 시 파일명 필터링 이뤄지지 않는 취약점...보안 위협 

[보안뉴스] 국내 PHP 기반의 유명 공개 웹 어플리케이션인 그누보드(Gnuboard)에서 XSS(Cross Site Scripting) 보안 취약점이 발견되어 해당 웹 어플리케이션 사용자들은 주의가 필요하다.

이번에 발견된 취약점은 파일 업로드 시 파일명에 대한 필터링이 이뤄지지 않는 취약점으로 취약한 버전을 사용하고 있을 경우, 악성코드 배포, 하이재킹 공격 등의 피해를 입을 수 있으므로 웹 관리자의 적극적인 조치가 필요하다.

이번 그누보드 보안 취약점을 발견한 국제정보보안교육센터(i2Sec) 황도경 씨는 “이번에 발견된 취약점은 파일 업로드 시 파일명에 대한 필터링이 이뤄지지 않아 발생하는 XSS 취약점으로 상황에 따라 바이러스 배포나 세션 하이재킹 공격, CSRF 공격 등으로 이어질 수 있어 주의해야 한다”고 말했다.

취약한 그누보드의 버전은 4.36.15이며 내용을 자세히 살펴보면 다음과 같다.

     ▲ 파일명 변경

리눅스를 이용해 파일명을 위와 같이 <img src=0 onerror=alert(document.cookie)> 변경하여 게시판에 업로드 한다.

    ▲ 파일업로드

파일을 업로드 한 뒤 다른 사용자가 게시물을 클릭하게 되면 스크립트가 작동하는 것을 볼 수 있다.

    ▲ Explorer 9

    ▲ Chrome 24

확인 결과 Explorer, Chrome, Opera, Firefox 에서 스크립트가 정상적으로 동작하는 것을 확인할 수 있다.

한편, img 이외에도 audio, video, iframe 등을 이용했을 때에도 특정 브라우저에서 스크립트가 정상 동작하는 것을 확인할 수 있었다.

국제정보보안교육센터측은 “이번 취약점의 해결 방안으로는 파일 업로드시 파일명에 특수문자 혹은 스크립트가 있다면 필터링 하는 방법으로 보안 강화가 가능하다”고 설명했다.

또한 “현재 해당 취약점은 그누보드 측에 통보했으며 이러한 내용을 전달 받은 그누보드 측은 취약점에 대해 현재 패치를 수행했고 최신 버전 4.36.16을 배포중이다. 취약한 버전 사용자들은 보안 패치를 하거나 최신 버전으로 업그레이드 하면 된다”고 덧붙였다.

해당 그누보드 취약점과 관련한 패치는 홈페이지 http://sir.co.kr/bbs/board.php?bo_table=g4_pds&wr_id=8425 에서 확인이 가능하다.

[김태형 기자(boan@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>