'제로보드'에 해당되는 글 15건

  1. 2010.04.19 국내 공개 웹 게시판(제로보드XE) 보안 업데이트 권고
  2. 2010.02.19 국내 공개 웹 게시판(제로보드) 보안 업데이트 권고
  3. 2009.09.23 제로보드 4.1pl9 신규취약점 및 배포⋅서비스 중지에 따른 주의
2010. 4. 19. 23:37

국내 공개 웹 게시판(제로보드XE) 보안 업데이트 권고

728x90

□ 개요
  o 최근 국내 PHP 기반의 공개 웹 게시판 제로보드 XE에 대한 XSS 및 CSRF 관련 보안 취약점이
     발견됨[1].
  o 해당 취약점을 이용한 홈페이지 변조 및 원격 실행 위협이 발생함에 따라, 사용자의 주의 및
     조속한 패치가 필요함

□ 영향
  o 원격의 사용자가 제로보드 XE 관리자 권한 획득가능
  o 획득한 관리자 권한을 이용하여 시스템 내의 임의의 파일 읽기, PHP 명령실행 등이 가능하며,
     이를 이용한 웹 변조, 원격 실행 등이 발생할 수 있음

□ 해당시스템
  o 제로보드 XE 1.4.0.10 이하 버전

□ 해결방안
  o 업데이트된 파일만 적용하는 경우,
    - 공식사이트(www.xpressengine.com)에 취약점이 패치된 xe.1.4.0.11.changed.tgz 를 다운로드
       받아 압축을 해제하여 config.inc.php 파일과 func.inc.php 파일을 운영중인 XE의
      “./config” 디렉토리에 설치
    - communication.controller.php 파일은 운영 중인 XE의 “./modules/communication”
       디렉토리에 설치

  o 업데이트가 적용된 상위 버젼으로 업그레이드하는 경우,
    - 공식사이트(www.xpressengine.com)에 취약점이 패치된 xe.1.4.0.11.zip 파일을 다운로드
       받아 기존에 XE를 운영중인 디렉토리에 설치
     ※ 처음 사용하는 사용자일 경우, “Xpress Engine 사용자 안내서”[3]를 참고하여 설치할
         것을 권고

□ 사용자 주의사항
   o 사용자들은 제로보드 XE의 공식 공지사항[2]을 주기적으로 확인하여 신규 취약점에 대한
      정보를 숙지하고 이에 따른 조치를 취해야함

□ 용어 정리
   o 제로보드(ZeroBoard) XE: PHP 언어로 작성된 홈페이지용 게시판 소프트웨어 또는 프레임워크
   o XSS(Cross Site Scripting) 취약점 : 웹사이트 관리자가 아닌 이가 웹 페이지에 클라이언트
      사이드 스크립트를 삽입하여 다른 사용자가 이를 실행하게끔 허용하는 취약점
   o CSRF(Cross-Site Request Forgery) 취약점 : 취약한 웹페이지를 이용하여 권한을 도용하는
      가짜 요청문을 클라이언트의 웹브라우저상에서 실행되도록 유도하는 취약점
   o PHP: 동적인 웹사이트를 위한 서버 측 스크립트 언어

□ 기타 문의사항
   o 한국인터넷진흥원 인터넷침해대응센터: 국번없이 118

[참고사이트]
      [1] http://www.xpressengine.com/18838863
      [2] http://www.xpressengine.com/notice
      [3] http://xe.xpressengine.net/wiki/18241550


Trackback 3 Comment 0
2010. 2. 19. 16:52

국내 공개 웹 게시판(제로보드) 보안 업데이트 권고

728x90

□ 개요
 o 최근 국내 PHP 기반의 공개 웹 게시판 제로보드4에 대한 CSRF 관련 보안 취약점이 발견됨[3]
    ※ 제로보드(ZeroBoard): PHP 언어로 작성된 홈페이지용 게시판 소프트웨어 또는 프레임워크
    ※ CSRF(Cross-Site Request Forgery) 취약점 : 정상적인 서비스 사용자의 권한을 몰래 이용하여
        스크립트를 실행할 수 있는 취약점으로 관리자 권한으로 악의적인 목적의 스크립트가 실행될 수
        있는 취약점
 o 해당 취약점을 이용한 홈페이지 변조 및 원격 실행 위협이 발생함에 따라, 사용자의 주의 및 조속한
    패치가 필요함

□ 영향
 o 원격의 사용자가 제로보드4 관리자 권한을 획득할 수 있음
 o 획득한 관리자 권한을 이용하여 시스템 내의 임의의 파일 읽기, PHP 명령실행 등이 가능하며,
    이를 이용한 웹 변조, 원격 실행 등이 발생할 수 있음
    ※ PHP : 동적인 웹사이트를 위한 서버 측 스크립트 언어

□ 영향 받는 시스템
 o 제로보드4 모든 버전

□ 설명
 o 원격의 사용자가 시스템 내의 임의의 파일을 읽거나, 임의의 php 코드를 실행하는 것이 가능하여 
    이를 통한 웹 변조 등의 해킹이 발생

□ 해결방안
 o 제로보드4를 처음 사용하는 경우
   - 공식사이트(http://www.zeroboard.com/)에는 취약점이 보완된 admin_exec_member.php 설치 
      파일[1]을 다운로드 받아 설치

 o 제로보드4를 사용중인 경우
   - admin_exec_member.php 파일의 106번째 줄에 다음 아래와 같이 추가 


□ 이용자 주의사항
 o 09년 9월 25일부터 제로보드4는 구조적인 한계로 인한 보안 취약점 문제로 공식적인 배포를 중지함
 o 제로보드4의 공식적인 배포는 중지되었으나 신규취약점의 피해를 막고 정보를 공유하기 위해 공식
    커뮤니티는 계속 운영될 예정
 o 따라서 이용자들은 제로보드4의 공식 커뮤니티[2] 사이트의 보안 정보 공유 게시판[1]을 
    주기적으로 확인하여 신규 취약점에 대한 정보를 숙지하고 이에 따른 조치를 취해야함
 o 혹은, 지속적인 보안패치 제공 서비스가 가능한 홈페이지 게시판으로 업그레이드를 권고

□ 기타 문의사항
 o 제로보드4는 더 이상 사용할 수 없는 건가요?
   - 아닙니다. 사용하실 수 있습니다. 그러나 제작사에서 더 이상 공식적인 보안 패치를 제공하지 않기
     때문에 신규 취약점으로 인한 피해를 입으실 수 있으므로 이용자 주의사항을 숙지하시길 바랍니다.
 o 제로보드4의 공식 커뮤니티는 계속 운영되나요?
   - 네 운영됩니다. 제로보드4 공식 커뮤니티 사이트[2]는 제로보드4의 취약점 정보 및 기타 정보 
     공유를 목적으로 계속 운영이 됩니다.
 o 한국인터넷진흥원 인터넷침해대응센터: 국번없이 118

[참고사이트]
[1]  http://www.xpressengine.com/zb4_security
[2] http://www.xpressengine.com/zb4_main
[3] http://www.xpressengine.com/18695228


Trackback 0 Comment 0
2009. 9. 23. 19:31

제로보드 4.1pl9 신규취약점 및 배포⋅서비스 중지에 따른 주의

728x90

□ 개요
   o 가장 최근에 공개된 제로보드 4.1pl9에 대한 취약점이 발견됨
   o 제로보드 4.1pl9가 특별하게 조작된 파라미터를 처리하는 과정에서 내부 파일이 웹페이지에 노출되거나
     임의의 명령을 수행하는 취약점
     ※ 임의의 명령 실행은 PHP버전 5.2 이상에서만 가능하며 파일 노출 취약점은 PHP 모든 버전에서 가능함
   o 또한 제로보드4의 공식적인 배포가 09년 9월 25일자로 중지되어 향후 신규 취약점에 대한 공식적인 보안 패치
     가 제공되지 않을 예정[1, 2]
   o 이에 따라 국내 이용자가 많은 제로보드 4.1pl9 및 제로보드4 사용에 주의를 요함

□ 영향을 받는 시스템
   o 제로보드 4.1pl9 버전

□ 조치 방법
   o "_head.php, skin/zero_vote/ask_password.php, skin/zero_vote/error.php,
      skin/zero_vote/login.php, skin/zero_vote/setup.php" 파일을 다음과 같이 수정 [5]

패치전

if (eregi(":\/\/",$_zb_path)||eregi("\.\.",$_zb_path)) $_zb_path ="./";

_head.php

if (eregi(":\/\/",$dir)||eregi("\.\.",$dir)) $dir ="./";

zero_vote/파일들

패치후

if (eregi(":\/\/",$_zb_path)||eregi("\.\.",$_zb_path)||
eregi("^/",$_zb_path)||eregi("data:;",$_zb_path)) $_zb_path ="./";

_head.php

if (eregi(":\/\/",$dir)||eregi("\.\.",$dir)||
eregi("^/",$dir)||eregi("data:;",$dir)) $dir ="./";

zero_vote/파일들


□ 이용자 주의사항
   o 09년 9월 25일부터 제로보드4는 구조적인 한계로 인한 보안 취약점 문제로 공식적인 배포를 중지할 예정임[1, 2]
   o 제로보드4의 공식적인 배포는 중지되었으나 신규취약점의 피해를 막고 정보를 공유하기 위해 공식 커뮤니티는 계속 운영될 예정
   o 따라서 이용자들은 제로보드4의 공식 커뮤니티[3] 사이트의 보안 정보 공유 게시판[4]을 주기적으로 확인하여 신규 취약점에 대한 정보를 숙지하고 이에 따른 조치를 취해야함
   o 혹은, 지속적인 보안패치 제공 서비스가 가능한 홈페이지 게시판으로 업그레이드를 권고

□ 용어 정리
   o 제로보드(ZeroBoard): PHP 언어로 작성된 홈페이지용 게시판 소프트웨어 또는 프레임워크
   o PHP: 동적인 웹사이트를 위한 서버 측 스크립트 언어

□ 기타 문의사항
   o 제로보드4는 더 이상 사용할 수 없는 건가요?
     - 아닙니다. 사용하실 수 있습니다. 그러나 제작사에서 더 이상 공식적인 보안 패치를 제공하지 않기 때문에 신규 취약점으로 인한 피해를 입으실 수 있으므로 이용자 주의사항을 숙지하시길 바랍니다.
   o 제로보드4의 공식 커뮤니티는 계속 운영되나요?
     - 네 운영됩니다. 제로보드4 공식 커뮤니티 사이트[3]는 제로보드4의 취약점 정보 및 기타 정보 공유를 목적으로 계속 운영이 됩니다.
   o 한국인터넷진흥원 인터넷침해대응센터: 국번없이 118

□ 참고사이트
   [1] http://www.xpressengine.com/18297368
   [2] http://www.xpressengine.com/18297850
   [3] http://www.xpressengine.com/zb4_main
   [4] http://www.xpressengine.com/zb4_security
   [5] http://www.xpressengine.com/18319857

출처 : 인터넷침해대응센터


Trackback 0 Comment 0