윈스테크넷, 그누보드 보안취약점 발견

국내 유명 공개 웹 애플리케이션 게시판인 그누보드에서 크로스스크립트사이트(XSS) 취약점이 발견돼 사용자의 주의가 요구된다.

5일 윈스테크넷(대표 김대연)은 그누보드 4.36.13 이하 버전에서 악성코드 유포 및 공격이 가능한 XSS 취약점을 발견했다고 밝혔다.

윈스테크넷 침해사고분석대응센터(WSEC)는 이 취약점을 한국정보보호진흥원 인터넷침해대응센터(KRCERT)에 알리고 그누보드 개발회사인 에스아이알소프트에 관련 정보를 제공했다.

이 취약점은 게시판에 업로드 되는 콘텐츠를 필터링하는 'conv_content()' 함수 오류로 인해 공격자가 업로드하는 스크립트가 사용자 브라우져에서 실행되도록 허용한다.

XSS 공격은 가장 위험성이 높은 취약점으로 국제웹보안표준기구 'OWASP'에서 경고하는 10대 웹 보안취약점에 포함된다.

이 취약점에 노출될 경우 공격자는 필터링 정책을 우회하는 악의적인 스크립트를 업로드해 웹페이지를 열어보는 사용자 웹브라우저에서 임의의 악성코드를 실행시킨다. 악성코드 유포, 사용자 세션 정보 탈취 등의 피해가 우려된다.

윈스테크넷은 해당 취약점에 대한 보안 패치가 적용 된 그누보드 4.36.14 버전 또는 이상 버전으로 패치작업을 수행하거나, 'conv_content()' 함수의 필터링 정책을 수정하는 방법으로 취약점을 해결할 수 있다고 설명했다.

윈스테크넷 침해사고대응센터장 손동식 상무는 그누보드와 같은 공개용 게시판은 이용하는 사용자가 많은 만큼 취약점으로 인한 영향이 매우 크다며, 사용자는 최신 보안패치의 적용 및 게시판 컨텐츠의 점검 등 지속적 관리를 수행하여 취약점 공격에 대응해야 한다고 말했다.