URL Jumping 통해 다른 사용자의 게시물 수정·삭제 가능

[보안뉴스 김태형] 중·고등학생을 대상으로 수학 온라인강의를 제공하며 사이트 이름으로 만든 기기로 많은 인기를 누리는 유명 수학 교육사이트에서 XSS(Cross Site Scripting), URL Jumping 보안취약점이 발견되어 사용자들의 주의가 필요하다.

이번 취약점을 발견한 국제정보보안교육센터(i2Sec 부산,대구) 1기 수강생 김준성 씨는 “보안에 취약한 태그, 속성, 스크립트에 대한 필터링이 이루어지지 않아 이런 취약점이 나타났다”고 설명했다.

XSS 취약점에 노출될 경우 공격자가 게시물에 악성 스크립트를 등록해 해당 게시물을 열람하는 사용자는 브라우저에서 해당 악성코드가 실행되어 좀비PC 감염, 웜, 바이러스 배포, 사용자 세션정보 탈취, CSRF 공격 등 2차, 3차 피해로 이어질 수 있다.

김준성 씨는 “해당 웹사이트 게시판의 수정 및 삭제 기능은 사용자 권한 검사를 통해 해당 게시물을 작성한 사용자만 접근할 수 있도록 인증과정을 거쳐 접근이 이루어져야 하지만 URL Jumping을 통해 다른 사용자의 게시물을 수정하거나 삭제하는 것이 가능하다”고 밝혔다.

또 URL Jumping은 게시물의 수정, 삭제 등의 기능에 접근할 때 세션 검사를 하지 않거나 아무런 인증 과정이 없어 발생하는 취약점이다. 공개용 게시판은 많은 사용자들이 이용하므로 문제 발생 시 피해 범위도 크다.

국제정보보안교육센터 측은 “XSS취약점의 경우 화이트리스트 방식으로 안전한 태그만 허용하는 것으로 보안을 강화할 수 있고 사용자들은 팝업 차단 설정을 생활화해야 한다. 그리고 세션 관리 취약으로 인한 URL Jumping 취약점은 UR의 처리과정이 일어나기 이전 모든 단계에서 사용자의 역할과 권한을 검증하는 접근통제 메커니즘을 통해 세션을 검증하도록 조치해야 한다”고 전했다.

한편 해당 취약점들은 현재 홈페이지를 운영하는 회사 측에 전달된 상태이며, 곧 보안조치가 완료될 예정이다.

[김태형 기자(boan@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>