인포섹, PHP기반 공개 웹 게시판에 웹쉘코드 삽입 취약점 발견

취약한 버전 사용 시 웹서버 원격제어, 홈페이지 변조 가능

[보안뉴스 호애진] 인포섹(대표 신수정)이 국내 PHP기반의 공개 웹 게시판인 익스프레스 엔진에서 웹쉘코드 삽입(Code Injection) 취약점을 발견했다.

발견된 웹쉘 코드 삽입(Code Injection) 취약점은 원격에서 악의적으로 웹쉘 코드를 삽입해 백도어(backdoor)를 생성할 수 있으며, 공격이 성공할 경우 서버 및 DB 전체 장악이 가능하다.

영향을 받는 소프트웨어는 익스프레스 엔진 1.5.3 및 이전 버전으로 취약한 버전을 사용하고 있을 경우, 홈페이지 해킹에 의해 변조, 웹서버 원격제어, 데이터베이스 정보 유출 등의 피해를 입을 수 있으므로 웹 관리자의 빠른 대응 조치가 필요하다.

기존 익스프레스 엔진(1.5.3.1 및 이전) 사용자는 업데이트가 적용된 상위 버전(1.5.3.2 이상)으로 업그레이드 하고 패치 작업 이전 원본 파일은 백업이 필요하다. 원본 파일 백업의 경우 소스 수정으로 인한 프로그램 기능 영향도 평가 및 문제 발생 시 복구를 위해 꼭 필요하다고 인포섹 측은 설명했다.

한편 익스프레스 엔진을 새로 설치하는 사용자의 경우 반드시 보안패치가 적용된 최신버전을 설치해야 한다.

이 취약점은 패치 권고문이 배포된 상태로 http://code.google.com/p/xe-core/wiki/ReleaseNote_1_5_3_2 또는 인터넷침해사고대응센터에 다운로드 가능하며 전화 국번없이 118을 통해서도 관련 안내를 받을 수 있다.

이번 취약점을 발견한 인포섹 관제사업본부 장경칩 차장은 “해당 취약점은 제로보드 xe에서 모든 사용자 입력값에 대한 보안 코드의 부재로 인해 나온 오류로 사용자들은 신속히 패치를 다운로드 받고 가능한 관리자 페이지가 외부로 노출되지 않도록 주의해야 한다”고 당부했다.

[호애진 기자(boan5@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)