국내 다수 웹사이트, XSS 취약점의 덫에 빠지다

JTBC, SK엔카 게시판 등 XSS 취약점 존재...보안관리 미흡 원인

[보안뉴스 김태형] 국내 웹사이트 담당자들은 XSS 취약점에 각별히 주의해야 할 것으로 보인다. 최근에는 JTBC, SK엔카 웹사이트에서 XSS 제로데이 취약점이 발견됐다. 또한 국내 PHP기반의 CMS인 킴스큐와 웹 애플리케이션 WordPress(3.8) 버전에서도 XSS 취약점이 발견돼 국내 많은 웹사이트 및 웹 애플리케이션들이 XSS 취약점에서 자유롭지 못한 것으로 보인다.

국제정보보안교육센터(i2sec) 18기 수강생 이재진 군은 “JTBC사이트에서 취약점 테스트 결과 모든 시청자 게시판에서 XSS 취약점이 발견됐다”고 설명했다. XSS 취약점은 HTML 태그에 대한 필터링이 되지 않은 데 따른 것으로, 간단한 문구만으로 XSS 공격을 통해 관리자 권한 탈취 및 악성코드 삽입이 가능하다.

▲ JTBC 시청자 게시판 XSS 실행 가능

국제정보보안교육센터 측은 “XSS 취약점의 경우 화이트리스트 방식으로 안전한 태그만 허용하는 것으로 보안을 강화할 수 있고 이에 대한 보안대책으로는 개발사를 통해 최신 패치를 적용하고 관리자들의 보안의식 수준을 높여야 한다”고 전했다.

또한, 국제정보보안교육센터(i2sec) 18기 수강생 김성룡 군은 “국산 및 수입 중고자동차 매매관련 정보 등을 제공하는 SK엔카 사이트 게시판 취약점 테스트 결과 게시판에 필터링이 이루어지고 있지만, 우회 시도 시에 XSS 취약점이 발견됐다”고 설명했다.

이러한 경우 공격자가 악의적인 스크립트를 등록, 이를 열람하는 사용자의 브라우저에서 해당 코드가 실행되도록 하거나 웜, 바이러스 배포, 사용자 세션정보 탈취, CSRF 공격 등 2차, 3차 피해로 이어질 수 있는 공격이다.

▲ SK엔카 게시판 XSS 실행 가능

그리고 국내 PHP기반의 CMS인 킴스큐(kimsQ) Rb 1.2.2 버전에서 XSS 및 CSRF 공격차단 보안 패치를 추가해 테스트한 결과, 게시판에 XSS 취약점이 발견된 것으로 드러났다.

이번 취약점을 발견한 국제정보보안교육센터(i2sec) 18기 수강생 김성수 군은 “XSS 취약점의 경우 화이트리스트 방식으로 안전한 태그만 허용하는 것으로 보안을 강화할 수 있다. 그리고 kimsQ는 PHP 기반의 오픈소스 웹 애플리케이션이기도 하지만 유료버전의 모듈을 포함하기에 사용자들의 주의가 필요하며 이번 취약점에 대한 발 빠른 대응이 필요하다”고 전했다.

이 뿐만 아니다. 국제정보보안교육센터(i2sec) 18기 수강생 이승용 군은 “WordPress 3.8버전에서 댓글 작성 시 필터링이 이루어지고 있지만, <body>, <img> 태그를 이용한 XSS 취약점이 발견됐다”고 설명했다.

이러한 XSS 취약점에 대응하기 위해서는 html을 지원하지 않거나 html 화이트리스트 방식으로 공격성이 짙은 해당 태그를 필터링해야 한다.

한편 해당 취약점들은 현재 각 사이트의 담당자 및 개발사에 전달된 상태이며, 적절한 보안조치가 진행 중이다.

[김태형 기자(boan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)