_______________________________________________________________________________ * 주로 bbs/폴더내의 파일들에 소스가 삽입됩니다.
원인 : 제로보드 4 게시판의 취약성을 이용한 파일 변조
증상 : 1. bbs/icon 폴더에 group_qazwsxedc.jpg 파일과 visitLog.php 생성
2. 계정내 확장자가 html, php 파일들에 frame src="악성코드 배포지 URL 삽입 (예: http://h.nexprice.com/css/x.htm)
* 계정내 파일들에 iframe 삽입은 없을 수도 있습니다.
3. 제로보드 DB에 zetyx_group_table 생성되고 이 테이블의 header 또는
header_url 에 위 2번과 동일한 악성코드 배포지 URL 생성.
조치 : 1. 1번 증상의 경우 해당 파일 삭제
2. 2번 증상의 경우 파일의 소스를 확인하여 삽입된 iframe 삭제
3. 3번 증상의 경우 제로보드 관리자로 로그인하여 생성된 그룹이 있는지
확인하여 새로 생성된 그룹에 삽입된 소스를 삭제
_______________________________________________________________________________
□ 개요
o 국내 PHP 기반의 공개 웹 게시판 제로보드에서 XSS, CSRF 및 RFI 취약점이 발견됨[1, 2]
o 해당 취약점을 이용한 홈페이지 변조 및 원격 실행 위협이 발생함에 따라, 취약한 버전
사용자의 주의 및 조속한 패치가 요구됨
□ 영향
o 공격자는 제로보드 관리자 권한을 획득하거나, 취약한 버전의 제로보드가 설치된 서버에서
원격의 악의적인 PHP 파일을 실행 가능하며, 이를 이용한 웹 변조, 원격 명령 실행 등의
위협이 발생할 수 있음
□ 해당시스템
o 제로보드 4 버전
o 제로보드 XE 1.4.4.2 이하 버전
□ 해결방안
o 제로보드 4 버전 사용자는 XE로 업그레이드[3] 하거나 RFI 취약점 보안 패치[6] 적용
※ 제로보드 4는 2009년 9월 25일 이후로 공식적인 배포가 중단되었으므로, XE 버전으로
업그레이드를 권고
o 기존 제로보드 XE 사용자는 업데이트가 적용된 상위 버젼으로 업그레이드[4]
※ 공식사이트에서 취약점이 패치된 xe.1.4.4.3.zip 파일을 다운로드 받아 기존에 XE를
운영중인 디렉토리에 설치
□ 사용자 주의사항
o 사용자들은 제로보드의 공식 공지사항 및 정보공유 게시판[2, 5]을 주기적으로 확인하여
신규 취약점에 대한 정보를 숙지하고 이에 따른 조치를 취해야함
□ 용어 정리
o 제로보드(ZeroBoard): PHP 언어로 작성된 홈페이지용 게시판 소프트웨어 또는 프레임워크
o XSS (Cross Site Scripting) : 웹사이트 관리자가 아닌 이가 웹페이지에 클라이언트 사이드
스크립트를 삽입하여 다른 사용자가 이를 실행하게끔 허용하는 취약점
o CSRF (Cross-Site Request Forgery) : 권한을 도용하는 가짜 요청문이 클라이언트의
웹브라우저상에서 실행되도록 유도 가능한 취약점
o RFI (Remote File Inclusion) : 사용자 입력 값 검증이 부적절하게 이루어져서, 원격의
서버에 존재하는 스크립트 파일을 취약한 시스템 상에서 실행할 수 있는 취약점
o PHP: 동적인 웹사이트를 위한 서버 측 스크립트 언어
□ 기타 문의사항
o 한국인터넷진흥원 인터넷침해대응센터: 국번없이 118
[참고사이트]
[1] http://www.xpressengine.com/blog/textyle/19342723
[2] http://www.xpressengine.com/zb4_main
[3] http://migration.xpressengine.net/?document_srl=18298740
[4] http://www.xpressengine.com/?mid=download&package_srl=18325662
[5] http://www.xpressengine.com/index
[6] http://www.xpressengine.com/zb4_security/19346851
댓글