포털 다음 카페 게시글 쓸 때 악성코드 삽입 가능하다?

다음 카페, 일반 회원이 악성코드 담긴 글 작성할 수 있는 취약점 발견
관리자가 읽을 경우 글 작성자가 원하는 권한으로 변경될 수도 있어
보안 가이드에 나오는 XSS, CSRF 취약점 대응방법 적용 및 필터링 조치 필요

[보안뉴스 김경애] 카카오의 포털사이트인 다음의 카페에 가입한 일반 회원이 악성코드를 포함한 글을 작성할 수 있는 취약점과 해당 글에 대해 관리자가 읽을 경우 글을 작성자가 원하는 권한으로 변경할 수 있는 취약점이 발견됐다.

▲관리자가 글을 읽어 사용자의 회원 등급이 변경된 테스트 화면

이를 본지에 제보한 한국정보기술연구원(KITRI) 침해사고대응 11기 서남석 씨는 “이번에 발견된 취약점은 Hex Code 삽입으로 XSS 필터링을 우회하는 CSRF 공격과 Html Event Tag’s Attribute를 이용한 CSRF 공격 총 2개”라며 “해당 취약점은 포털사 다음의 XSS 필터링 정책을 우회하고, 회원등급 변경 URL을 이용한 CSRF 공격이 가능하다”고 밝혔다.

XSS와 CSRF는 게시물에 스크립트 등록을 할 수 있으며, 사용자 및 관리자가 스크립트 게시물을 열람할 수 있다. 또한 게시물을 읽는 관리자 권한으로 원하지 않는 요청이 발생할 수 있다. 뿐만 아니라 공격자의 의도로 패스워드가 변경될 수 있으며, 해당 계정을 2,3차 공격으로 활용할 수 있는 위험이 있다.

▲회원등급을 우회하기 위한 취약점 테스트 화면

게다가 해당 취약점은 다른 악성 프로그램을 배포하고, 글을 읽는 사람들의 계정관련 정보를 가로챌 수 있는 등 사용자에게 영향을 줄 수 있는 다양한 공격형태로 확장될 수 있어 더욱 위험하다는 지적이다.

해당 취약점의 위험성에 대해 박찬주 수석은 “국제웹보안표준기구 OWASP의 TOP 10에 업급된 A3, A8 과 관련된 공격”이라며 “주요정보통신기반시설의 기술적 취약점 분석평가 방법 상세가이드의 ‘웹 보안 가이드라인’ 부분에도 언급되어 있다”고 밝혔다. 이어 그는 “사용자에게 심각한 피해를 영향을 줄 수 있는 공격 형태”라고 덧붙였다.

현재는 카카오 측에 의해 취약점이 조치돼 필터링이 된 것으로 파악됐다. 하지만 완벽한 조치 해결에는 어려움을 따를 수 있다는 설명이다.

이에 대해 노브레이크 박찬주 수석은 “대부분의 포털 사이트는 이미 많은 페이지들이 쌓여있고, 워낙 광범위한 페이지여서 취약점을 진단하는 외부 업체에서도 놓치는 경우가 많다”고 밝혔다. 더욱이 근본적인 문제가 해결되지 않아 취약점이 반복적으로 나오는 경우가 대부분이라는 것.

그러면서 박찬주 수석은 “해당 취약점은 사이트 수정을 통해 근본적인 해결을 해야 하지만 현재 사이트 규모나 비지니스의 연속성 때문에 사이트 수정에 어려움이 많을 것”이라며 “결국 지속적인 모니터링과 취약점에 대한 즉각적인 대응이 현 시점에선 최선책이며, 예방을 위해서는 보안 가이드에 나오는 XSS, CSRF 취약점 대응방법을 적용하고, 새로운 필터링 우회 방법이 나오면 적극적인 필터링 조치를 취해야 한다”고 말했다.
[김경애 기자(boan3@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)