워드프레스 논리 구조에 있는 취약점...공격자가 아무 포스트 생성 가능
플러그인과 결합했을 때 사이트 장악까지 다다를 수 있게 됨
[보안뉴스 문가용 기자] 워드프레스(WordPress)에서 권한 상승 취약점이 발견됐다. 이를 악용할 경우 관리자들만 사용할 수 있는 기능을 공격자가 사용할 수 있게 된다고 한다. 이에 대해 립스테크(RIPS Tech)의 보안 전문가들이 상세히 공개했다.
이 취약점이 발생하는 근본적인 이유는 워드프레스가 블로그 포스트들을 생성하는 논리 구조에 있다고 한다. “이를 통해 스토어드 XSS(Stored XSS)와 객체 주입을 워드프레스 코어에서 실시할 수 있게 됩니다.”
블로그 생성 및 관리를 위한 소프트웨어 툴인 워드프레스는 다양한 종류의 포스트들을 생성하고 게재하도록 해준다. 여기에다가 플러그인들도 다양해 더 새롭고 다양한 포스트들을 만드는 것도 가능하고, 색다른 기능들을 덧붙이는 것도 가능하다. 그러한 블로그 포스트들 중에는 관리자만 다룰 수 있는 것도 있는데, 이에 대한 접근 권한을 관리함으로써 보안 위험을 줄일 수 있다.
하지만 립스테크가 발표한 취약점 보고서에 따르면 (이 취약점을 익스플로잇 할 경우) 워드프레스에 구현된 보안 장치들은 얼마든지 우회가 가능하고, 따라서 블로그 게시글 종류를 마음대로 지정하고 남용할 수 있다고 한다. 심지어 설치된 플러그인이 무엇이냐에 따라 더 심각한 사태도 발생할 수 있다.
“예를 들어 약 5백만 번의 설치 회수를 기록 중인 콘택트 폼 7이라는 플러그인의 경우, 공격자들이 목표로 삼은 워드프레스 사이트의 데이터베이스 크리덴셜을 열람할 수 있도록 해줍니다. 대부분의 워드프레스 플러그인들이 이번에 발견된 권한 상승 취약점을 내포하고 있습니다.”
워드프레스 사용자가 블로그 포스트를 새롭게 올리거나 고칠 경우, 워드프레스는 먼저 사용자가 하고자 하는 동작(혹은 발휘하고자 하는 기능)이 무엇인지, 사용자가 생성하려고 하는 포스트의 종류가 무엇인지, 해당 사용자에게 그러한 권한이 있는지를 확인한다. 이 중 권한 확인 과정은 편집기 페이지에서 나오는 논스(nonce) 값을 통해 실행된다.
“권한이 낮은 사용자라면 관리자 게시글과 같은 유형은 만들 수 없죠. 왜냐하면 그에 해당하는 논스가 없기 때문입니다. 그러나 일반적인 포스트의 논스는 얻어낼 수 있습니다. 그런데 이 ‘일반 포스트용 논스’는 내부용 포스트 유형의 포스트에 대한 권한도 포함하고 있습니다. 그러므로 포스트 ID를 이러한 내부용 포스트 유형의 포스트로 설정하면 논스 확인 과정을 통과할 수 있게 됩니다.”
원칙적으로는 이 시점에서 공격자가 할 수 있는 건 새로운 포스트의 생성은 아니다. 포스트 유형을 바꾸는 것도 불가능한 것이 맞다. 기존 게시글을 수정하는 것만 가능하다. 하지만 이러한 식의 익스플로잇이 가능한 건 특수한 매개변수가 사용되었을 때라는 것이 포인트다. “워드프레스는 두 번째 매개변수의 존재 여부를 확인하지 않는데, 이 때문에 공격자가 논스 확인을 우회해 새로운 포스팅을 자기 마음대로 생성할 수 있게 됩니다.”
결론적으로는 낮은 권한의 사용자도 모든 유형의 게시글을 마음껏 만들 수 있게 되는 것인데, 그 효과는 공격을 당하는 사이트에 설치된 플러그인에 따라 크게 증폭될 수도 있다. 플러그인의 권한 설정과 기능이 무엇이냐에 따라 더 위험한 공격도 가능해진다는 것이다. “인기가 높아 자꾸 예를 드는데, 콘택트 폼 7이라는 플러그인의 경우 공격자가 wp-config.php 파일의 내용을 열람할 수 있게 해줍니다.”
립스테크는 “콘텍트 폼 7만이 문제가 아니”라고 강조했다. “인기가 높은 플러그인들 대부분 이 취약점으로 인한 효과를 크게 증폭시킬 가능성을 가지고 있습니다. 그렇다는 건 사실상 공격자가 이런 플러그인이 설치된 사이트를 장악할 수 있게 된다는 뜻입니다.”
3줄 요약
1. 워드프레스의 일부 논리 구조에서 권한 상승 취약점 발견됨.
2. 권한이 낮아도 모든 유형의 포스트를 마음대로 생성할 수 있게 해줌.
3. 인기 높은 플러그인들과 이 취약점이 만나면 문제는 더욱 커짐.
[국제부 문가용 기자(globoan@boannews.com)]
플러그인과 결합했을 때 사이트 장악까지 다다를 수 있게 됨
[보안뉴스 문가용 기자] 워드프레스(WordPress)에서 권한 상승 취약점이 발견됐다. 이를 악용할 경우 관리자들만 사용할 수 있는 기능을 공격자가 사용할 수 있게 된다고 한다. 이에 대해 립스테크(RIPS Tech)의 보안 전문가들이 상세히 공개했다.
[이미지 = iclickart]
이 취약점이 발생하는 근본적인 이유는 워드프레스가 블로그 포스트들을 생성하는 논리 구조에 있다고 한다. “이를 통해 스토어드 XSS(Stored XSS)와 객체 주입을 워드프레스 코어에서 실시할 수 있게 됩니다.”
블로그 생성 및 관리를 위한 소프트웨어 툴인 워드프레스는 다양한 종류의 포스트들을 생성하고 게재하도록 해준다. 여기에다가 플러그인들도 다양해 더 새롭고 다양한 포스트들을 만드는 것도 가능하고, 색다른 기능들을 덧붙이는 것도 가능하다. 그러한 블로그 포스트들 중에는 관리자만 다룰 수 있는 것도 있는데, 이에 대한 접근 권한을 관리함으로써 보안 위험을 줄일 수 있다.
하지만 립스테크가 발표한 취약점 보고서에 따르면 (이 취약점을 익스플로잇 할 경우) 워드프레스에 구현된 보안 장치들은 얼마든지 우회가 가능하고, 따라서 블로그 게시글 종류를 마음대로 지정하고 남용할 수 있다고 한다. 심지어 설치된 플러그인이 무엇이냐에 따라 더 심각한 사태도 발생할 수 있다.
“예를 들어 약 5백만 번의 설치 회수를 기록 중인 콘택트 폼 7이라는 플러그인의 경우, 공격자들이 목표로 삼은 워드프레스 사이트의 데이터베이스 크리덴셜을 열람할 수 있도록 해줍니다. 대부분의 워드프레스 플러그인들이 이번에 발견된 권한 상승 취약점을 내포하고 있습니다.”
워드프레스 사용자가 블로그 포스트를 새롭게 올리거나 고칠 경우, 워드프레스는 먼저 사용자가 하고자 하는 동작(혹은 발휘하고자 하는 기능)이 무엇인지, 사용자가 생성하려고 하는 포스트의 종류가 무엇인지, 해당 사용자에게 그러한 권한이 있는지를 확인한다. 이 중 권한 확인 과정은 편집기 페이지에서 나오는 논스(nonce) 값을 통해 실행된다.
“권한이 낮은 사용자라면 관리자 게시글과 같은 유형은 만들 수 없죠. 왜냐하면 그에 해당하는 논스가 없기 때문입니다. 그러나 일반적인 포스트의 논스는 얻어낼 수 있습니다. 그런데 이 ‘일반 포스트용 논스’는 내부용 포스트 유형의 포스트에 대한 권한도 포함하고 있습니다. 그러므로 포스트 ID를 이러한 내부용 포스트 유형의 포스트로 설정하면 논스 확인 과정을 통과할 수 있게 됩니다.”
원칙적으로는 이 시점에서 공격자가 할 수 있는 건 새로운 포스트의 생성은 아니다. 포스트 유형을 바꾸는 것도 불가능한 것이 맞다. 기존 게시글을 수정하는 것만 가능하다. 하지만 이러한 식의 익스플로잇이 가능한 건 특수한 매개변수가 사용되었을 때라는 것이 포인트다. “워드프레스는 두 번째 매개변수의 존재 여부를 확인하지 않는데, 이 때문에 공격자가 논스 확인을 우회해 새로운 포스팅을 자기 마음대로 생성할 수 있게 됩니다.”
결론적으로는 낮은 권한의 사용자도 모든 유형의 게시글을 마음껏 만들 수 있게 되는 것인데, 그 효과는 공격을 당하는 사이트에 설치된 플러그인에 따라 크게 증폭될 수도 있다. 플러그인의 권한 설정과 기능이 무엇이냐에 따라 더 위험한 공격도 가능해진다는 것이다. “인기가 높아 자꾸 예를 드는데, 콘택트 폼 7이라는 플러그인의 경우 공격자가 wp-config.php 파일의 내용을 열람할 수 있게 해줍니다.”
립스테크는 “콘텍트 폼 7만이 문제가 아니”라고 강조했다. “인기가 높은 플러그인들 대부분 이 취약점으로 인한 효과를 크게 증폭시킬 가능성을 가지고 있습니다. 그렇다는 건 사실상 공격자가 이런 플러그인이 설치된 사이트를 장악할 수 있게 된다는 뜻입니다.”
3줄 요약
1. 워드프레스의 일부 논리 구조에서 권한 상승 취약점 발견됨.
2. 권한이 낮아도 모든 유형의 포스트를 마음대로 생성할 수 있게 해줌.
3. 인기 높은 플러그인들과 이 취약점이 만나면 문제는 더욱 커짐.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-04-18] 
.jpg)
.jpg)
.jpg)
