IT 분야 유명 e러닝·커뮤니티 사이트, 취약점 ‘지뢰밭’

매개변수 취약점, 타인 글 수정·삭제·악성코드 유포 가능

[보안뉴스 김태형] 유명 출판사의 IT수험서 커뮤니티 카페와 독자들을 위한 e러닝 동영상 강의 사이트에서 ID·PW 평문전송과 심각한 URL 매개변수 취약점이 발견되어 이용자들의 주의가 필요하다.

이번 취약점을 발견해 본지에 알려온 보안전문가 육운수 씨는 “이 사이트 회원이어서 사이트를 방문해 패스워드를 찾다가 해당 취약점을 발견하게 됐다. 특히 매개변수 취약점은 로그인을 하지 않아도 타인의 글을 수정하거나 삭제할 수 있으며 공지사항에 관리자를 사칭해 파일 업로드가 가능하기 때문에 웹셸을 올려놓거나 악성코드를 배포할 가능성이 있어 위험하다”고 설명했다.

▲ 유명 출판사가 운영하는 한 IT 커뮤니티에서 로그인 ID·PW가 평문 전송되고 있다.

이어서 그는 “ID·PW 평문전송의 경우에는 와이어샤크를 이용해 패킷을 캡쳐한 결과, 사이트 2곳 모두 ID와 PW가 암호화가 아닌 평문으로 그대로 노출되고 있음을 확인할 수 있었다”고 덧붙였다.

이 취약점의 해결방안은 URL의 매개변수 파라미터 값을 임의로 바꿀 수 있는 웹 취약점을 제거하거나 https 적용을 통한 암호화 통신을 구현하는 것이다. 또 게시물은 작성자만 수정할 수 있도록 권한 설정이 필요하다.

본지의 통보를 받은 해당 사이트 담당자는 “해당 취약점에 대해 즉시 점검을 통해서 소스 수정 및 보안강화 조치를 진행할 예정”이라고 말했다.

[김태형 기자(boan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)