제로보드, 보안 취약점 패치 권고

아이넷캅(www.inetcop.net)은 최근 국내 PHP 기반의 공개 웹 게시판 제로보드에 대한 XSS(Cross Site Script) 보안 취약점을 발견했다고 지난 12일 밝혔다.

XSS 보안 취약점은 메모함의 제목 부분과 사용자 자신의 정보를 기록하는 email, homepage 입력란에서 발생한다. 관리자가 사용자의 레벨 권한을 수정하기 위해 사용자 정보 페이지에 접속했을 때 공격 코드가 실행되며, 일반적으로 악의적인 코드를 쪽지 제목에 포함시켜 공격한다.

공격자는 관리자 웹 페이지 header 포함 기능을 통해 임의의 PHP 공격 코드를 주입해 시스템 내부 명령을 실행할 수 있다. 또한 관리자의 패스워드를 변경하거나, 일반사용자의 권한을 관리자의 권한으로 상승시킬 수 있다.

이 회사 관계자는 “원격의 사용자가 취약한 웹 게시판을 이용해 피해자 시스템에 악성코드를 설치해 자신을 포함한 특정 사용자의 권한을 게시판 관리자 권한으로 상승시킨다”며 “해당 취약점을 응용해 피해자 시스템에 임의의 명령을 실행할 수 있으며 관리자의 패스워드를 변경할 수 있다”고 밝혔다.

<관리자가 쪽지함에 접속하며 현재 접속 중이던 일반 사용자의 권한이 Super Administrator로 상승되는 것을 볼 수 있다. 또한 게시판 그룹 header 포함 기능을 통해 시스템 내부 명령어 실행이 가능하다.>

이 보안취약점을 해결하기 위해서는 제로보드 4.1 pl7 보안버그 패치(전체 파일)를 다운로드(www.nzeo.com/bbs/zboard.php?id=cgi_download2)받아 업그레이드 한다. 또한 제로보드 php.ini의 설정 중, allow_url_fopen 옵션을 Off로 설정하면 된다.

좀더 자세한 사항은 다음 사이트를 참고하면 된다.

x82.inetcop.org/h0me/papers/iframe_tag_exploit.txt

http://www.inetcop.org/net_bug/view.php?number=42

[박은수 기자(boannews@infothe.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다