스킨플레이어 홈페이지 파일 업로드 취약점 주의!

필터링 검증 부분 미흡해 우회기법 통한 공격 가능

[보안뉴스 김태형] 노트북이나 스마트폰의 액정 보호필름이나 케이스를 온라인으로 판매하는 쇼핑몰인 ‘스킨플레이어’ 홈페이지에서 파일 업로드 취약점이 발견되어 이용자들의 주의가 필요하다.

이 취약점은 소스코드 필터링 검증 부분이 미흡해서 발생하는 취약점으로, 파일 업로드 취약점을 이용해 우회 공격으로 웹셸 업로드가 가능하다.

▲ 스킨플레이어의 업로드 페이지.

보안전문가 김관영 씨는 “스킨플레이어에서 발견된 취약점은 파일 업로드 취약점으로 필터링의 미흡 때문에 발생한 취약점이다. 스킨플레이어는 소스코드 부분에 파일 업로드 취약점 방어를 위해서 필터링 소스코드가 존재하지만, 파일 업로드 취약점 공격 방법은 다양한 우회 기술이 존재하기 때문에 공격자는 이 우회기법을 사용해서 침투가 가능하다”라고 설명했다.

스킨플레이어 업로드 페이지의 경우도 이미지 확장자 파일만 업로드가 가능하다. 파일 업로드 취약점을 방어하기 위해서 웹 소스코드에서 첨부 파일의 확장자를 필터링했지만, 소스코드 검증 부분이 취약해서 간단하게 우회가 가능하다. 이 파일 업로드 취약점을 이용해서 웹셸 업로드 시 정상적으로 웹셸이 실행되는 것을 알 수 있었다.

즉, 스킨플레이어는 소스코드 부분에서 파일 업로드 취약점 확장자 필터링 검증 소스코드가 존재하지만, 필터링 검증 부분이 미흡해서 우회기법을 통해서 공격이 가능한 유형이라는 것.

▲ 스킨플레이어 홈페이지의 파일 업로드 취약점.

그는 “이러한 파일 업로드 취약점 대응방법은 다양한 방법이 있으며, 파일 업로드 취약점은 업로드를 처리하는 웹 소스코드에서 첨부 파일의 확장자를 보고 필터링 한다. 또는 디렉터리 스크립트 실행설정을 제거해서 웹셸이 업로드 되더라도 실행하지 않게 환경을 구성하면 된다”고 강조했다.

스킨플레이어 측은 “최대한 빠른 시일 안에 점검과 함께 보안조치를 완료할 것”이라고 말했다.

[김태형 기자(boan@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다