스킨플레이어 홈페이지 파일 업로드 취약점 주의!

필터링 검증 부분 미흡해 우회기법 통한 공격 가능

[보안뉴스 김태형] 노트북이나 스마트폰의 액정 보호필름이나 케이스를 온라인으로 판매하는 쇼핑몰인 ‘스킨플레이어’ 홈페이지에서 파일 업로드 취약점이 발견되어 이용자들의 주의가 필요하다.

이 취약점은 소스코드 필터링 검증 부분이 미흡해서 발생하는 취약점으로, 파일 업로드 취약점을 이용해 우회 공격으로 웹셸 업로드가 가능하다.

▲ 스킨플레이어의 업로드 페이지.

보안전문가 김관영 씨는 “스킨플레이어에서 발견된 취약점은 파일 업로드 취약점으로 필터링의 미흡 때문에 발생한 취약점이다. 스킨플레이어는 소스코드 부분에 파일 업로드 취약점 방어를 위해서 필터링 소스코드가 존재하지만, 파일 업로드 취약점 공격 방법은 다양한 우회 기술이 존재하기 때문에 공격자는 이 우회기법을 사용해서 침투가 가능하다”라고 설명했다.

스킨플레이어 업로드 페이지의 경우도 이미지 확장자 파일만 업로드가 가능하다. 파일 업로드 취약점을 방어하기 위해서 웹 소스코드에서 첨부 파일의 확장자를 필터링했지만, 소스코드 검증 부분이 취약해서 간단하게 우회가 가능하다. 이 파일 업로드 취약점을 이용해서 웹셸 업로드 시 정상적으로 웹셸이 실행되는 것을 알 수 있었다.

즉, 스킨플레이어는 소스코드 부분에서 파일 업로드 취약점 확장자 필터링 검증 소스코드가 존재하지만, 필터링 검증 부분이 미흡해서 우회기법을 통해서 공격이 가능한 유형이라는 것.

▲ 스킨플레이어 홈페이지의 파일 업로드 취약점.

그는 “이러한 파일 업로드 취약점 대응방법은 다양한 방법이 있으며, 파일 업로드 취약점은 업로드를 처리하는 웹 소스코드에서 첨부 파일의 확장자를 보고 필터링 한다. 또는 디렉터리 스크립트 실행설정을 제거해서 웹셸이 업로드 되더라도 실행하지 않게 환경을 구성하면 된다”고 강조했다.

스킨플레이어 측은 “최대한 빠른 시일 안에 점검과 함께 보안조치를 완료할 것”이라고 말했다.

[김태형 기자(boan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)