CSRF 및 검증되지 않은 리다이렉션 취약점 코드, 업로드 가능 

하이재킹, DDoS 악성 바이러스, 웜, 피싱 등의 피해 입을 수 있어   

[보안뉴스 김태형] PHP 기반 무료 웹 애플리케이션에서 국제 웹보안표준기구(OWASP TOP 10)에 보고된 ‘CSRF(웹쉘 파일 생성, 관리자권한 상승, 포인트 변조, 게시물 변조) 및 검증되지 않은 리다이렉션(공격자 서버로 사용자 세션을 원격전송)하는 취약점’이 발견되어 사용자들의 주의가 필요하다.

     ▲ CSRF 및 검증되지 않은 리다이렉션 취약점 코드

이는 국내에서 많은 유저들이 사용하고 있는 것으로 알려진 kimsQ(버전1.2.1)로 웹사이트와 웹 응용프로그램을 위한 오픈소스 프레임워크이기 때문에 전문 기술이 없는 사용자도 직관적인 인터페이스를 통해 쉽게 설치가 가능한 것이 특징이다.

특히, 모바일 홈페이지 기능에서 개인 홈페이지뿐만 아니라 커뮤니티/일반기업/쇼핑몰까지 구축이 가능하며 자체 마켓을 통해 기능을 쉽게 확장할 수 있다. 하지만 공격자가 CSRF 취약점 코드 및 검증되지 않은 리다이렉션 취약점 코드를 게시물에 업로드 할 수 있었던 것으로 알려졌다.

이번 취약점을 발견한 국제정보보안교육센터(i2sec) 측은 “이 취약점은 ‘OWASP TOP 10’에 보고된 CSRF 및 검증되지 않은 리다이렉션으로 HTML 태그에 대한 필터링이 제대로 이루어지지 않아 발생하는 취약점”이라고 설명했다.

이에 해당 서비스 사용자는 XSS, CSRF, 웹쉘을 이용한 파일 업로드 및 파일다운로드, DDoS 악성코드, 웜바이러스, 피싱, 하이재킹, 공격 등, 2, 3차 피해를 입을 수 있어 각별히 주의해야 한다고 국제정보보안교육센터 측은 덧붙였다.

이번 보안취약점을 발견한 국제정보보안교육센터 박성진 씨는 “이번에 발견한 CSRF 및 검증되지 않은 리다이렉션 취약점으로 웹사이트의 치명적인 웹쉘 파일 생성 취약점 및 일반 유저가 관리자로 권한을 상승 할 수 있는 취약점 그리고 게시물 변조, 포인트 변조 등 검증되지 않은 리다이렉션을 통해 공격자 서버로 세션을 원격 전송할 수 있는 취약점”이라고 설명했다.

      ▲ 포인트 변조 취약점 결과

또한, 그는 “신속한 조치가 이루어지지 않으면 금전적인 피해는 물론 쇼핑몰/커뮤니티의 신뢰성에 큰  타격을 입을 수도 있다”고 지적했다.

이어서 그는 “kimsQ는 PHP 기반의 오픈소스 웹 애플리케이션이기도 하지만 유료버전의 모듈을 포함하기에 사용자들의 주의가 필요하며 이번 취약점에 대한 발 빠른 대응이 필요하다”고 말했다.

국제정보보안교육센터 측은 “취약점 테스트 결과, CSRF 및 검증되지 않은 리다이렉션은 최신 버전에서 모두 작동하는 것으로 확인됐다”고 밝혔다.

이번 취약점 해결방안으로는 사용자의 우회 공격이 가능한 태그를 금지하고 kimsQ측에서 제공하는 에디터를 통해서만 콘텐츠를 링크할 수 있도록 설정하는 방법 등으로 보안을 강화할 수 있다. 이러한 취약점에 대한 발빠른 대응을 위해서는 개발사와 화이트 해커 사이의 빠른 피드백이 이루어질 수 있도록 오픈 커뮤니티가 활성화될 필요가 있다.

현재 kimsQ 측에는 보안취약점이 통보된 상태이며, 현재 보안패치를 진행 중인 것으로 알려졌다.

[김태형 기자(boan@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>