국내 다수 웹사이트, XSS 취약점의 덫에 빠지다

JTBC, SK엔카 게시판 등 XSS 취약점 존재...보안관리 미흡 원인

[보안뉴스 김태형] 국내 웹사이트 담당자들은 XSS 취약점에 각별히 주의해야 할 것으로 보인다. 최근에는 JTBC, SK엔카 웹사이트에서 XSS 제로데이 취약점이 발견됐다. 또한 국내 PHP기반의 CMS인 킴스큐와 웹 애플리케이션 WordPress(3.8) 버전에서도 XSS 취약점이 발견돼 국내 많은 웹사이트 및 웹 애플리케이션들이 XSS 취약점에서 자유롭지 못한 것으로 보인다.

국제정보보안교육센터(i2sec) 18기 수강생 이재진 군은 “JTBC사이트에서 취약점 테스트 결과 모든 시청자 게시판에서 XSS 취약점이 발견됐다”고 설명했다. XSS 취약점은 HTML 태그에 대한 필터링이 되지 않은 데 따른 것으로, 간단한 문구만으로 XSS 공격을 통해 관리자 권한 탈취 및 악성코드 삽입이 가능하다.

▲ JTBC 시청자 게시판 XSS 실행 가능

국제정보보안교육센터 측은 “XSS 취약점의 경우 화이트리스트 방식으로 안전한 태그만 허용하는 것으로 보안을 강화할 수 있고 이에 대한 보안대책으로는 개발사를 통해 최신 패치를 적용하고 관리자들의 보안의식 수준을 높여야 한다”고 전했다.

또한, 국제정보보안교육센터(i2sec) 18기 수강생 김성룡 군은 “국산 및 수입 중고자동차 매매관련 정보 등을 제공하는 SK엔카 사이트 게시판 취약점 테스트 결과 게시판에 필터링이 이루어지고 있지만, 우회 시도 시에 XSS 취약점이 발견됐다”고 설명했다.

이러한 경우 공격자가 악의적인 스크립트를 등록, 이를 열람하는 사용자의 브라우저에서 해당 코드가 실행되도록 하거나 웜, 바이러스 배포, 사용자 세션정보 탈취, CSRF 공격 등 2차, 3차 피해로 이어질 수 있는 공격이다.

▲ SK엔카 게시판 XSS 실행 가능

그리고 국내 PHP기반의 CMS인 킴스큐(kimsQ) Rb 1.2.2 버전에서 XSS 및 CSRF 공격차단 보안 패치를 추가해 테스트한 결과, 게시판에 XSS 취약점이 발견된 것으로 드러났다.

이번 취약점을 발견한 국제정보보안교육센터(i2sec) 18기 수강생 김성수 군은 “XSS 취약점의 경우 화이트리스트 방식으로 안전한 태그만 허용하는 것으로 보안을 강화할 수 있다. 그리고 kimsQ는 PHP 기반의 오픈소스 웹 애플리케이션이기도 하지만 유료버전의 모듈을 포함하기에 사용자들의 주의가 필요하며 이번 취약점에 대한 발 빠른 대응이 필요하다”고 전했다.

이 뿐만 아니다. 국제정보보안교육센터(i2sec) 18기 수강생 이승용 군은 “WordPress 3.8버전에서 댓글 작성 시 필터링이 이루어지고 있지만, <body>, <img> 태그를 이용한 XSS 취약점이 발견됐다”고 설명했다.

이러한 XSS 취약점에 대응하기 위해서는 html을 지원하지 않거나 html 화이트리스트 방식으로 공격성이 짙은 해당 태그를 필터링해야 한다.

한편 해당 취약점들은 현재 각 사이트의 담당자 및 개발사에 전달된 상태이며, 적절한 보안조치가 진행 중이다.

[김태형 기자(boan@boannews.com)]

최근 발생한 크라우드 스트라이크의 보안 SW 업데이트 오류 사태처럼 SW 공급망에 보안이슈가 발생할 경우 관련된 각종 시스템 및 IT 인프라 마비가 일어날 수 있다는 게 드러났습니다. 이러한 공급망 보안을 위협하는 가장 큰 요인은 무엇이라고 생각하시나요?
	랜섬웨어, 피싱 등의 사이버 공격
	SW 업데이트 및 SW 교체 과정에서의 오류
	SW 자체에 존재하는 보안 취약점
	시스템 관리자의 운영상 실수 및 관리 미흡
	기타(댓글로)