포털 다음 카페 게시글 쓸 때 악성코드 삽입 가능하다?

다음 카페, 일반 회원이 악성코드 담긴 글 작성할 수 있는 취약점 발견
관리자가 읽을 경우 글 작성자가 원하는 권한으로 변경될 수도 있어
보안 가이드에 나오는 XSS, CSRF 취약점 대응방법 적용 및 필터링 조치 필요

[보안뉴스 김경애] 카카오의 포털사이트인 다음의 카페에 가입한 일반 회원이 악성코드를 포함한 글을 작성할 수 있는 취약점과 해당 글에 대해 관리자가 읽을 경우 글을 작성자가 원하는 권한으로 변경할 수 있는 취약점이 발견됐다.

이를 본지에 제보한 한국정보기술연구원(KITRI) 침해사고대응 11기 서남석 씨는 “이번에 발견된 취약점은 Hex Code 삽입으로 XSS 필터링을 우회하는 CSRF 공격과 Html Event Tag’s Attribute를 이용한 CSRF 공격 총 2개”라며 “해당 취약점은 포털사 다음의 XSS 필터링 정책을 우회하고, 회원등급 변경 URL을 이용한 CSRF 공격이 가능하다”고 밝혔다.

XSS와 CSRF는 게시물에 스크립트 등록을 할 수 있으며, 사용자 및 관리자가 스크립트 게시물을 열람할 수 있다. 또한 게시물을 읽는 관리자 권한으로 원하지 않는 요청이 발생할 수 있다. 뿐만 아니라 공격자의 의도로 패스워드가 변경될 수 있으며, 해당 계정을 2,3차 공격으로 활용할 수 있는 위험이 있다.

게다가 해당 취약점은 다른 악성 프로그램을 배포하고, 글을 읽는 사람들의 계정관련 정보를 가로챌 수 있는 등 사용자에게 영향을 줄 수 있는 다양한 공격형태로 확장될 수 있어 더욱 위험하다는 지적이다.

해당 취약점의 위험성에 대해 박찬주 수석은 “국제웹보안표준기구 OWASP의 TOP 10에 업급된 A3, A8 과 관련된 공격”이라며 “주요정보통신기반시설의 기술적 취약점 분석평가 방법 상세가이드의 ‘웹 보안 가이드라인’ 부분에도 언급되어 있다”고 밝혔다. 이어 그는 “사용자에게 심각한 피해를 영향을 줄 수 있는 공격 형태”라고 덧붙였다.

현재는 카카오 측에 의해 취약점이 조치돼 필터링이 된 것으로 파악됐다. 하지만 완벽한 조치 해결에는 어려움을 따를 수 있다는 설명이다.

이에 대해 노브레이크 박찬주 수석은 “대부분의 포털 사이트는 이미 많은 페이지들이 쌓여있고, 워낙 광범위한 페이지여서 취약점을 진단하는 외부 업체에서도 놓치는 경우가 많다”고 밝혔다. 더욱이 근본적인 문제가 해결되지 않아 취약점이 반복적으로 나오는 경우가 대부분이라는 것.

그러면서 박찬주 수석은 “해당 취약점은 사이트 수정을 통해 근본적인 해결을 해야 하지만 현재 사이트 규모나 비지니스의 연속성 때문에 사이트 수정에 어려움이 많을 것”이라며 “결국 지속적인 모니터링과 취약점에 대한 즉각적인 대응이 현 시점에선 최선책이며, 예방을 위해서는 보안 가이드에 나오는 XSS, CSRF 취약점 대응방법을 적용하고, 새로운 필터링 우회 방법이 나오면 적극적인 필터링 조치를 취해야 한다”고 말했다.
[김경애 기자(boan3@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다