2024-03-29 03:50 (금)
사파리 브라우저, URL 스푸핑 공격에 취약한 상태...주의
상태바
사파리 브라우저, URL 스푸핑 공격에 취약한 상태...주의
  • 길민권 기자
  • 승인 2018.09.14 16:06
이 기사를 공유합니다

URL과 SSL 우회할 수 있어 많은 피해 우려돼

ee.jpg
공격자들이 윈도우용 마이크로소프트 엣지 웹 브라우저와 iOS용 사파리에서 웹사이트 주소를 스푸핑하도록 허용하는 심각한 취약점이 발견됐다. 한편 구글 크롬과 모질라 파이어폭스 웹 브라우저는 이 취약점에 영향을 받지 않는다.

마이크로소프트는 지난 정기 업데이트를 통해 주소창 URL 스푸핑 취약점을 수정했지만, 사파리는 여전히 패치 되지 않아 애플 사용자들이 피싱 공격에 취약하게 됐다.

새로 발견 된 이 취약점은 사용자가 웹사이트의 진위성을 확인할 수 있는 기본 지표인 URL과 SSL을 우회할 수 있어 많은 피해가 우려된다.

보안 연구원인 Rafay Baloch가 발견한 이 취약점(CVE-2018-8383)은 웹브라우저가 페이지가 로딩하는 도중 자파스크립트가 URL 주소창 페이지 주소를 업데이트할 수 있도록 허용해 발생하는 race condition 문제로 인해 발생한다.

이 결점을 악용할 경우 공격자가 처음에는 합법적인 페이지를 로딩해 주소창에는 해당 페이지의 주소가 표시 되는 사이 웹페이지의 코드를 악성 코드로 교체할 수 있다.

또 공격자는 지메일, 페이스북, 트위터, 은행 웹사이트 등 어떤 웹페이지로 가장해 사용자의 주소창에는 합법적 URL이 표시 된 상태에서 가짜 로그인 화면이나 크리덴셜 등 정보를 훔치기 위한 다른 양식을 표시할 수 있다.

연구원은 취약점 테스트를 위한 PoC 페이지를 만들었으며, 마이크로소프트 엣지와 애플 사파리 브라우저 모두 “자바스크립트가 페이지가 아직 로딩 중임에도 주소창을 업데이트하도록 허용했다”고 밝혔다.

마이크로소프트는 이 문제를 2018년 8월 ‘패치 화요일’을 통해 이미 수정했지만, Baloch은 애플에 지난 6월 2일 제보했음에도 아직까지 답변을 받지 못했다고 밝혔다.

연구원은 취약점을 제보한지 90일 이후 엣지용 기술적 세부사항 및 PoC 코드를 모두 공개했다. 하지만 이를 수정한 사파리 브라우저의 다음 버전이 나오기 전까지는 애플용 PoC 코드는 공개하지 않을 것이라 밝혔다.

★정보보안 대표 미디어 데일리시큐!★


■ 보안 사건사고 제보 하기

▷ 이메일 : mkgil@dailysecu.com

▷ 제보 내용 : 보안 관련 어떤 내용이든 제보를 기다립니다!

▷ 광고문의 : jywoo@dailysecu.com

★정보보안 대표 미디어 데일리시큐 / Dailysecu, Korea's leading security media!★