페이스북에서 실행 파일 전송 가능한 취약점 발견

해당 취약점 악용될 수 있어...사용자들의 주의 요구돼

[보안뉴스 호애진] 한 보안 전문가가 페이스북 메시징 시스템의 취약점을 발견했다.

이 취약점을 이용하면 페이스북의 소셜 네트워크 상에서 누구에게나 메시지에 실행 파일(.exe)을 첨부해 보낼 수 있다.

원래 페이스북은 이런 유형의 보안 위협이 발생하지 않도록 나름대로 철저히 대비했다. 설계 자체가 실행 파일이 첨부된 메시지는 전송할 수 없도록 돼 있다. 따라서 실행 파일을 첨부해 보내면 오류 메시지가 뜬다.

그러나 시규리티펜테스트닷컴(SecurityPentest.com)의 네이던 파워(Nathan Power)는 실행 파일을 하나 첨부해 보냈고 페이스북의 웹 서버로 POST 요청이 전송되는 것을 포착했다.

페이스북 시스템에서는 파일 이름에 대해 단순히 파싱(구문분석)을 행해 파일의 허용 여부를 결정했던 것이다. 예컨대 “cmd.com”에 공백을 하나 추가해 “cmd.com ”으로 만들기만 해도 페이스북의 보안 메커니즘은 간단히 무너진다.

페이스북은 9월 30일 이 취약점에 대해 통지를 받았고 10월 26일 이 결함을 인정했다. 네이던 파워는 다음날 27일 이를 발표했다.

페이스북에서는 친구가 아닌 사람에게도 메시지를 보내는 것이 가능하다. 이에 따라 해당 취약점을 악용한 보안 위협이 나타날 수 있어 사용자들의 각별한 주의가 요구된다.

한 보안 전문가는 “페이스북에서는 원칙적으로 실행 파일이 전송되지 않는다”며 “실행 파일이 첨부된 메시지를 받게 되면 악의적인 해커가 보낸 공격 파일일 가능성이 높기 때문에 가급적이면 열어보지 않는 것이 좋다”고 조언했다.

[호애진 기자(boan5@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)