공개 웹게시판 익스프레스 엔진서 XSS 취약점 발견!

인포섹, “취약한 버전 사용 시 개인정보 유출 등 피해 우려”

[보안뉴스 호애진] 종합정보보안전문기업 인포섹(대표 신수정)이 국내 PHP기반의 공개 웹 게시판인 익스프레스 엔진에서 XSS(Cross-Site Scripting) 취약점을 발견했다.

발견된 XSS취약점은 악의적인 스크립트가 특정 경로에서 실행 되면서 사용자의 쿠키값 탈취 및 공격자가 만들어 놓은 홈페이지로 유도해 추가적인 악성코드를 실행시킬 수 있다.

▲ 사용자 입력 값이 필터 되지 않는 소스 일부

영향을 받는 소프트웨어는 익스프레스 엔진 1.5.3.3 및 이전 버전으로 취약한 버전을 사용하고 있을 경우, XSS를 통해 개인 정보 유출 및 좀비PC가 되는 등의 피해를 입을 수 있다

이에 기존 익스프레스 엔진(1.5.3.3 및 이전) 사용자는 긴급 업데이트가 적용된 상위 버전(1.5.3.4)으로 업그레이드 하고, 익스프레스 엔진을 새로 설치하는 사용자의 경우 반드시 보안패치가 적용된 최신버전을 설치해야 한다.

해당 취약점은 패치 권고문이 배포된 상태로 (http://www.xpressengine.com/blog/textyle/21351939) 또는 인터넷침해사고대응센터(http://www.krcert.or.kr/kor/data/secNoticeView.jsp?p_bulletin_writing_sequence=1643)에서 다운로드 가능하며 전화 국번 없이 118을 통해서도 관련 안내를 받을 수 있다.

이번 취약점을 발견한 인포섹 관제사업본부 김정혁, 백종욱 사원은 해당 취약점은 “XE에서 모든 사용자의 입력값에 대한 보안 코드 부재로 인해 나온 오류”라며, “관리자들은 신속히 패치를 다운로드 받고 사용자들은 확인되지 않은 주소링크를 통해 게시판에 직접 접근하지 않도록 주의하는 한편, 익스플로러 옵션의 팝업차단 사용 및 인터넷 옵션의 개인정보 설정을 ‘높음’ 레벨로 조정해 피해를 예방해야 한다”고 강조했다.

[호애진 기자(boan5@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다