모 대형포털 블로그에서 XSS 취약점이 발견됐다. 해당 포털 카페에도 동일한 취약점이 존재했지만 취약한 부분의 글자수를 제한해 글자색 바꾸기, 크기 바꾸기 같은 장난 정도만 가능한 반면 블로그는 CSRF 같은 공격에 무방비로 노출 된 상황이다.
 
해당 취약점을 발견하고 데일리시큐에 제보한 김범수씨는 “모 포털 블로그에서 답글 입력시 어떤 사람에게 말한 것인지를 구분하기 위해 닉네임을 좌측에 표시해 준다. 그런데 이 닉네임이 클라이언트 측에서 만들어서 서버로 보내주는 방식이다. 일반적인 방법으로 접근할 수 없는 페이지로 이동시킨 후 Referer 체크를 하는 시큐어코딩이 이루어 지고는 있지만, 해당 요청을 Paros 같은 프록시 툴로 Trap해 조작하는 경우까지는 고려를 하지 못한 것으로 보인다. 이 경우 간단히 XSS 에 무방비로 노출이 된다”고 설명했다.
 
또 “클라이언트측에서 처리하면 안될 부분을 기술적인 편의상 처리하고 있고 XSS 필터링 또한 전혀 이루어지지 않고 있다”고 조치를 당부했다.
 
대응 방안에 대해서는 “반대로 XSS에 대한 방어를 제대로 하든 아니면 닉네임을 서버에서 처리해서 보내주면 된다”고 밝혔다.
 
데일리시큐는 해당 취약점에 대해 KISA에 전달하고 조치가 이루어질 수 있도록 할 예정이다.
 
데일리시큐 길민권 기자 mkgil@dailysecu.com