에누리닷컴 취약점...웹서버 주요 설정파일 및 DB파일 다운로드 가능
[보안뉴스 김태형] 온라인 가격비교 사이트 에누리에서 파일 다운로드(File Download) 취약점이 발견되어 이용자들의 주의가 필요하다.
국제정보보안교육센터(i2sec) 20기 수강생 김승현 군은 “가격비교 사이트 에누리에서 파일 다운로드 취약점을 발견했다”고 설명했다.
이 파일 다운로드 취약점은 상위 디렉터리를 요청해 시스템 파일 및 웹 소스파일을 전송 받을 수 있는 취약점이다.
김 군은 “이 취약점은 다운로드할 때 전송되는 파라미터 값과 경로가 있는지 확인하고 상대 경로를 이용해 자기가 입력 받고 싶은 경로 및 파일명을 입력해 파일을 다운로드 한다”고 말했다.
이용자들은 웹 서버에 접속해서 해당 사이트를 볼 수 있는데, 공격자가 이 파일 다운로드 취약점을 이용하면 웹서버의 모든 파일들을 자신의 PC로 다운로드 할 수 있다. 이로 인해 해당 웹 서버의 중요한 설정파일이나 DB파일 등을 공격자들이 손에 넣을 수 있기 때문에 매우 위험하다는 것.
▲ 파일 다운로드 취약점을 이용하면 공격자는 해당 홈페이지 웹서버의 모든 파일들을 자신의 PC로 다운로드 할 수 있다.
이에 대해 국제정보보안교육센터 측은 “파일 다운로드 취약점의 경우 시스템 소스파일이랑 백업파일 등 민감한 파일을 다운로드 할 수 있을 뿐만 아니라 2차 3차 공격으로 이어질 수 있다. 상대경로를 통해 이동할 수 있는 ‘../’ 와 같은 특수한 문자를 필터링을 해주어야 하며 그 외에 정기적 점검 및 보안이 이루어져야 한다”고 전했다.
한편 해당 취약점은 현재 사이트 담당자에게 전달된 상태이며, 조치가 이루어질 예정이다.
[김태형 기자(boan@boannews.com)]
<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>
김태형기자 기사보기
[2024-10-05] 
.jpg)
