윈스, 웹게시판 그누보드 보안 취약점 차단

윈스(대표 김대연)는 국내 공개 웹애플리케이션 게시판으로 유명한 그누보드에서 크로스사이트스크립트(XSS) 취약점이 발견돼 차단조치했다고 15일 밝혔다.

XSS취약점은 웹브라우저에서 악의적인 프로그램이나 명령어가 실행되게 하는 취약점이다. 회사측은 그누보드 배포 사이트인 에스아이알소프트에 관련 정보를 제공했다.

이 취약점은 게시판 관리 부분인 'board_form_update.php'의 'bo_subject' 파라미터와 투표관리 부분인 'poll_form_updata.php'의 'po_subject' 파라미터로 전달되는 입력값에 대한 검증이 제대로 이뤄지지 않아 발생한다.

이로 인해 공격자가 등록한 스크립트가 사용자 브라우저에서 실행되도록 허용한다. 또한 글 작성시 전달되는 'wr_content' 파라미터에 자바스크립트 문자열을 필터링 하지 않아 태그를 이용한 XSS 취약점도 확인됐다.

공격자는 악성 스크립트를 작성 후 등록된 해당 페이지를 열람 하는 사용자 브라우저에서 악성 스크립트가 실행되도록 공격할 수 있다.

윈스 침해사고대응센터(WSEC)는 해당 취약점을 'bo_subject' / 'po_subject' / 'wr_content' 파라미터에 필터링 정책을 추가하는 방법으로 해결할 수 있다고 설명했다.

손동식 윈스 침해사고대응센터장은 그누보드와 같은 공개용 게시판은 불특정 다수의 인원이 사용하는 만큼 취약점에 노출될 경우 악성코드 유포지로 악용될 가능성이 크다고 말했다.

이에 따라 게시판 개발자는 소스코드 안전진단, 보안 코딩 가이드를 이용해 취약점을 사전 예방하는 것이 중요하며, 사용자들은 최신 보안패치를 적용하거나 게시판 콘텐츠를 점검해 공격에 대응해야한다고 회사측은 밝혔다.