스킨플레이어 홈페이지 파일 업로드 취약점 주의!

필터링 검증 부분 미흡해 우회기법 통한 공격 가능

[보안뉴스 김태형] 노트북이나 스마트폰의 액정 보호필름이나 케이스를 온라인으로 판매하는 쇼핑몰인 ‘스킨플레이어’ 홈페이지에서 파일 업로드 취약점이 발견되어 이용자들의 주의가 필요하다.

이 취약점은 소스코드 필터링 검증 부분이 미흡해서 발생하는 취약점으로, 파일 업로드 취약점을 이용해 우회 공격으로 웹셸 업로드가 가능하다.

▲ 스킨플레이어의 업로드 페이지.

보안전문가 김관영 씨는 “스킨플레이어에서 발견된 취약점은 파일 업로드 취약점으로 필터링의 미흡 때문에 발생한 취약점이다. 스킨플레이어는 소스코드 부분에 파일 업로드 취약점 방어를 위해서 필터링 소스코드가 존재하지만, 파일 업로드 취약점 공격 방법은 다양한 우회 기술이 존재하기 때문에 공격자는 이 우회기법을 사용해서 침투가 가능하다”라고 설명했다.

스킨플레이어 업로드 페이지의 경우도 이미지 확장자 파일만 업로드가 가능하다. 파일 업로드 취약점을 방어하기 위해서 웹 소스코드에서 첨부 파일의 확장자를 필터링했지만, 소스코드 검증 부분이 취약해서 간단하게 우회가 가능하다. 이 파일 업로드 취약점을 이용해서 웹셸 업로드 시 정상적으로 웹셸이 실행되는 것을 알 수 있었다.

즉, 스킨플레이어는 소스코드 부분에서 파일 업로드 취약점 확장자 필터링 검증 소스코드가 존재하지만, 필터링 검증 부분이 미흡해서 우회기법을 통해서 공격이 가능한 유형이라는 것.

▲ 스킨플레이어 홈페이지의 파일 업로드 취약점.

그는 “이러한 파일 업로드 취약점 대응방법은 다양한 방법이 있으며, 파일 업로드 취약점은 업로드를 처리하는 웹 소스코드에서 첨부 파일의 확장자를 보고 필터링 한다. 또는 디렉터리 스크립트 실행설정을 제거해서 웹셸이 업로드 되더라도 실행하지 않게 환경을 구성하면 된다”고 강조했다.

스킨플레이어 측은 “최대한 빠른 시일 안에 점검과 함께 보안조치를 완료할 것”이라고 말했다.

[김태형 기자(boan@boannews.com)]

우리나라 정보보호 수준 향상을 위해 이재명 정부에게 가장 바라는 점은 무엇인가요?
	ISMS 등 보안 인증 제도 실효성 개선
	AI 보안, 양자보안 등 보안 기술 연구개발 지원 확대
	중소 기업 보안 지원 확대
	기업 보안 예산 비율 의무화
	국가 정보보호 거버넌스 체계 정비
	기타(댓글로)