3명의 해커가 PHP에 존재하는 2개의 제로데이 취약점을 통해 Pornhub 사이트 서버에 원격 코드 실행 공격을 가했다.
 
구글 소프트웨어 인턴이자 보안 연구원인 Ruslan Habalov는 그와 그의 동료들(@_cutz, Dario Weißer)이 어떻게 Dornhub 데이터베이스 전체에 접근하고 민감한 사용자 정보를 얻었는지에 대한 상세한 정보를 공개했다.
 
Pornhub은 이들에게 2만 달러를 지불했으며, PHP 제로데이에 대해서는 추가적으로 2천달러를 지불했다. 해당 연구팀은 익스플로잇 과정이 ‘Pornhub의 /etc/passwd 파일 살펴보기, 다른 명령어 실행 가능 여부, syscall을 실행하기 위한 PHP 깨부수기’ 등의 많은 단계를 포함하고 있어서 복잡했다고 말한다.
 
또한 그들은 “해당 취약점들은 매우 다른 PHP 환경에 있음에도, unserialize 환경에서도 원격으로 안정적이게 익스플로잇되었다”고 하면서 “사용자의 인풋을 unserialize에 사용하면 안된다. PHP의 최신 버전이 충분하다고 생각하는 것은 굉장히 나쁘고, JSON과 같은 덜 복잡한 serialization method를 사용하는 것이 낫다”고 덧붙였다.
 
이 팀은 사용자 정보를 포함한 Pornhub의 모든 데이터를 유출시키거나 사용자를 트래킹하거나 감시하고 사이트의 소스 코드를 유출시키고 또 루트 권한을 얻는 등의 행위를 할 수 있었다.
 
해당 취약점들은 지난달 공개된 PHP 버전 5와 7에서 패치되었다.
 
★정보보안 대표 미디어 데일리시큐!★
 
<데일리시큐 HSK 외신기자>