.jpg)
.jpg)
취약점 통해 공격자가 피싱과 파밍에 악용할 수 있어
네이버 “해당 취약점은 클릭재킹 보안이슈로 취약점 조치 완료”
[보안뉴스 김경애] 네이버 블로그 글쓰기 기능상의 취약점으로 인해 자칫하면 사이버범죄자들의 피싱 및 파밍 행위에 악용될 수 있었던 것으로 드러났다. 글쓰기 기능 중 필터링 되지 않은 CSS(Cascading Style Sheets)를 이용한 XSS 취약점 공격이 발견됐다. 현재는 네이버 측의 조치가 이루어진 상태다.
CSS는 html에서 주로 사용되는 언어로, 사이트의 레이아웃을 잡아줄 때 주로 사용되며, 관련된 스크립트가 브라우저를 통해 표현된다.
네이버 블로그의 글쓰기에서는 html 태그의 style 속성(CSS)중 position:fixed;를 필터링해 없애 준다. 하지만 네이버 글쓰기 html 태그 속성에서 소문자인 position:fixed;를 대문자인 POSITION:fixed;와 같이 바꿔주면 필터링이 되지 않아 속성이 그대로 적용됐던 것.
지난 20일 본지에 이를 제보한 이원평군은 “이 취약점을 악용할 경우 해커가 원하는 사이트로 접속되도록 조작할 수 있다”며 “IE, 크롬, 파이어폭스, 오페라 등의 웹브라우저에서 테스트 해봤는데, 대부분의 브라우저에서 작동하기 때문에 주의해야 한다”고 당부했다.
이에 대해 25일 네이버 관계자는 “해당 취약점은 클릭재킹 보안 이슈로 HTML 작성이 가능한 서비스들에서는 흔히 발생할 수 있다”며 “자사의 각 서비스에서는 이러한 시도를 기술적으로 대응하고 있으며, 제보자는 당사 블로그 서비스에서 대응 시스템의 우회포인트를 잘 발견한 것 같다. 해당 내용은 개발부서로 전달되어 신속히 보완될 예정”이라는 입장을 밝혔다. 또한, 네이버의 타 서비스들에서는 이와 같은 우회포인트가 없다고 덧붙였다.
클릭재킹(Clickjacking)은 사용자가 의도하지 않은 기능을 클릭하게 유도해 광고수입이나 기타 어뷰징을 수행하도록 할 수 있다. 어뷰징 용도 뿐만 아니라 메일 등을 전송해 악성코드 유포지로 이동시키는 방식으로도 활용이 가능하다.
이를 분석한 노브레이크 박찬주 수석 컨설턴트는 “CSS를 이용한 XSS 공격”이라며 “CSS 필터링 되지 못한 코드를 이용해 클릭재킹형 코드를 작성해 둔 것”이라고 설명했다.
이어 박찬주 수석 컨설턴트는 “테스트용으로 만든 XSS 취약점이 존재하는 임의의 사이트에 코드를 넣어 실험한 결과 해당 취약점을 이용해 얼마든지 다른 사이트로 옮길 수 있었다”며 “피싱과 파밍 과정에 악용할 수도 있고, 악성코드를 유포할 수도 있는 등 사용자에게 영향을 끼칠 수 있다”고 설명했다.
해결방안과 관련해 그는 “행자부에서 발표한 ‘주요정보통신기반시설 기술적 취약점 분석평가 방법 상세가이드’를 참고(523P)해 불필요한 키워드를 필터링해야 한다”고 당부했다.
[김경애 기자(boan3@boannews.com)]
네이버 “해당 취약점은 클릭재킹 보안이슈로 취약점 조치 완료”
[보안뉴스 김경애] 네이버 블로그 글쓰기 기능상의 취약점으로 인해 자칫하면 사이버범죄자들의 피싱 및 파밍 행위에 악용될 수 있었던 것으로 드러났다. 글쓰기 기능 중 필터링 되지 않은 CSS(Cascading Style Sheets)를 이용한 XSS 취약점 공격이 발견됐다. 현재는 네이버 측의 조치가 이루어진 상태다.
▲ 테스트용으로 만든 XSS 취약점이 존재하는 임의의 사이트에서 실험한 화면 1.
CSS는 html에서 주로 사용되는 언어로, 사이트의 레이아웃을 잡아줄 때 주로 사용되며, 관련된 스크립트가 브라우저를 통해 표현된다.
네이버 블로그의 글쓰기에서는 html 태그의 style 속성(CSS)중 position:fixed;를 필터링해 없애 준다. 하지만 네이버 글쓰기 html 태그 속성에서 소문자인 position:fixed;를 대문자인 POSITION:fixed;와 같이 바꿔주면 필터링이 되지 않아 속성이 그대로 적용됐던 것.
지난 20일 본지에 이를 제보한 이원평군은 “이 취약점을 악용할 경우 해커가 원하는 사이트로 접속되도록 조작할 수 있다”며 “IE, 크롬, 파이어폭스, 오페라 등의 웹브라우저에서 테스트 해봤는데, 대부분의 브라우저에서 작동하기 때문에 주의해야 한다”고 당부했다.
이에 대해 25일 네이버 관계자는 “해당 취약점은 클릭재킹 보안 이슈로 HTML 작성이 가능한 서비스들에서는 흔히 발생할 수 있다”며 “자사의 각 서비스에서는 이러한 시도를 기술적으로 대응하고 있으며, 제보자는 당사 블로그 서비스에서 대응 시스템의 우회포인트를 잘 발견한 것 같다. 해당 내용은 개발부서로 전달되어 신속히 보완될 예정”이라는 입장을 밝혔다. 또한, 네이버의 타 서비스들에서는 이와 같은 우회포인트가 없다고 덧붙였다.
클릭재킹(Clickjacking)은 사용자가 의도하지 않은 기능을 클릭하게 유도해 광고수입이나 기타 어뷰징을 수행하도록 할 수 있다. 어뷰징 용도 뿐만 아니라 메일 등을 전송해 악성코드 유포지로 이동시키는 방식으로도 활용이 가능하다.
▲ 테스트용으로 만든 XSS 취약점이 존재하는 임의의 사이트에서 실험한 화면 2.
이를 분석한 노브레이크 박찬주 수석 컨설턴트는 “CSS를 이용한 XSS 공격”이라며 “CSS 필터링 되지 못한 코드를 이용해 클릭재킹형 코드를 작성해 둔 것”이라고 설명했다.
이어 박찬주 수석 컨설턴트는 “테스트용으로 만든 XSS 취약점이 존재하는 임의의 사이트에 코드를 넣어 실험한 결과 해당 취약점을 이용해 얼마든지 다른 사이트로 옮길 수 있었다”며 “피싱과 파밍 과정에 악용할 수도 있고, 악성코드를 유포할 수도 있는 등 사용자에게 영향을 끼칠 수 있다”고 설명했다.
해결방안과 관련해 그는 “행자부에서 발표한 ‘주요정보통신기반시설 기술적 취약점 분석평가 방법 상세가이드’를 참고(523P)해 불필요한 키워드를 필터링해야 한다”고 당부했다.
[김경애 기자(boan3@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
김경애기자 기사보기
[2024-11-01] 
