많은 기업들의 최애 SW ‘XFTP와 지라’, 보안 취약점으로 긴급 업데이트

넷사랑의 XFTP Client, 버퍼오버플로우 취약점 발견돼 보안 업데이트
아틀라시안의 지라(Jira) 프로그램, 정보 노출 취약점 해결한 보안 패치 발표

[보안뉴스 권 준 기자] 최근 국내에서 많이 사용되는 넷사랑의 FTP 프로그램인 XFTP Client 제품과 전 세계적으로 유명한 아틀라시안의 지라(Jira) 프로그램에서 보안 취약점이 잇따라 발견돼 해당 업체들에서 긴급하게 보안 업데이트에 나섰다.

[이미지=iclickart]

먼저 넷사랑 사의 XFTP Client 제품에서 발견된 버퍼오버플로우 취약점은 공격자가 제어 가능한 FTP 서버의 파일을 다운로드할 때 파일명을 복사하는 과정에서 버퍼 오버플로우가 발생하여 임의 코드를 실행할 수 있는 취약점(CVE-2019-17320)이다.

XFTP Client 6.0149 이전 버전은 해당 취약점에 영향을 받게 되며, 심각도(CVSS) 역시 ‘HIGH(8,8)’ 수준으로 매우 높다. 이에 XFTP Client 6.0149 이전 버전 사용자는 넷사랑 홈페이지를 참고하여 보안 패치를 적용한 XFTP 6.0150 이상 버전으로 업데이트를 수행해야 한다.

한편, 해당 취약점은 한국인터넷진흥원(KISA) 인터넷침해대응센터(KrCERT) 홈페이지를 통해 한광희 씨가 제보해서 알려졌다.

또한, 포춘 500대 기업을 포함한 전 세계 13만 5천 개가 넘는 기업들이 사용하는 소프트웨어인 아틑란시안 사의 지라(Jira) 제품의 정보 노출 취약점을 해결한 보안 업데이트도 발표됐다. 지라는 아틀라시안이 개발한 이슈 추적 제품으로 버그 추적, 이슈 추적, 프로젝트 관리 기능 등을 제공하는 소프트웨어로 유명하다.

공격자가 해당 취약점을 악용할 경우 프로젝트 및 이슈 정보 등의 노출 피해를 발생시킬 수 있는 것으로 알려졌다. 고객 포탈(Customer Portal)에 접근이 가능한 공격자가 경로 이동(Path Traversal) 취약점을 통해 관리자 포탈에 접근할 수 있는 취약점(CVE-2019-14994)이다. 단, 취약점이 발생하기 위한 전제조건으로 고객 포탈의 /servicedesk 웹 페이지 인증 권한이 필요한 것으로 알려졌다.

해당 취약점에 영향을 받는 제품 버전은 △3.9.16 이하 모든 버전 △3.10.x △3.11.x △3.12.x △3.13.x △3.14.x △3.15.x △3.16.x before 3.16.8(the fixed version for 3.16.x) △4.0.x △4.1.x before 4.1.3 (the fixed version for 4.1.x) △4.2.x before 4.2.5 (the fixed version for 4.2.x) △4.3.x before 4.3.4 (the fixed version for 4.3.x) △4.4.0이다. 이번 취약점의 심각도는 'HIGH(7.5)' 수준이다.

앞서 소개한 제품 버전을 보유한 사용자는 취약점이 해결된 최신버전(3.9.16, 3.16.8, 4.1.3, 4.2.5, 4.3.4, 4.4.1)으로 설치하거나 보안 패치를 즉시 적용할 수 없는 경우 아틀라시안 지라 소프트웨어 서포트 사이트의 ‘Workaround’ 내용을 확인해야 한다.

해당 제품들의 취약점에 대한 보다 자세한 사항은 제조사나 KISA 사이버민원센터(국번 없이 119)에 문의하면 된다.
[권 준 기자(editor@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)