이 문제는 그누보드 5.3 버전부터 현재까지 모든 버전에 해당됩니다.
그누보드에 기본 탑재된 소셜로그인 기능을 이용하고 있으시면 세션 파일을 다운로드하지 못하도록 rewrite 설정을 변경하여 방어하세요.
이슈에 올라온것처럼 소셜로그인 설정의 비밀키가 세션 데이터를 통해 누출되고있으며, 이 세션 데이터를 담은 파일을 다운로드하여 아주 쉽게 비밀키를 획득할수있습니다.
이 비밀키가 노출될 경우 공격자가 API 서비스 이용 한도를 초과하게하여 관련 로그인 또는 함께 사용되는 API 서비스 이용이 일시 차단되거나 과금되는 서비스를 이용 시 추가 과금이 발생할수 있습니다.
rewrite 설정으로 방어 후에 각 서비스에서 비밀키를 재발급하여 변경하시길 권장합니다.
이미 오래전에 공개되어버린 보안이슈이며, 아직 그누보드에서 대응 패치를 하지 않았기 때문에 소셜 로그인 서비스를 이용중인 사이트에서는 패치를 권장합니다.
댓글 10개
베스트 댓글
@YJSoft 호스팅사가 알아서 잘해놨으면 좋겠지만 그건 사실 기대에 지나지 않으니 보수적으로 보는게 좀 더 도움이 될것같습니다.
그누보드는 session_save_path를 제거하고 기본 설정을 따라도 ss_mb_key 세션값으로 관리페이지에 접근시 세션고정취약점에 대한 대비가 일부 되어있긴합니다.
세션 경로의 분리가 도움이 안되는건 아닙니다.
세션 파일을 직접 다운로드할수있는게 문제지 뭐 세션고정취약점에 대해서는 일부분이지만 나름 방어는 되어있습니다.
보안취약점이란게 일말의 가능성이 문제가 되기도 하니까요. 커다란 복잡성이나 대비하기위한 방법이 매우 난해하지 않는한 이처럼 간단한 방법으로 해결이 가능하다면 세션저장경로의 분리는 나쁘지않은 선택이라고 봅니다.
뭐 더 좋은건 세션이 어디있든 세션고정취약점에 대비할수있도록 위 ss_mb_key 사례처럼 모든 세션에 대한 보안대응이 확실한 방법이겠죠.
그누보드는 session_save_path를 제거하고 기본 설정을 따라도 ss_mb_key 세션값으로 관리페이지에 접근시 세션고정취약점에 대한 대비가 일부 되어있긴합니다.
세션 경로의 분리가 도움이 안되는건 아닙니다.
세션 파일을 직접 다운로드할수있는게 문제지 뭐 세션고정취약점에 대해서는 일부분이지만 나름 방어는 되어있습니다.
보안취약점이란게 일말의 가능성이 문제가 되기도 하니까요. 커다란 복잡성이나 대비하기위한 방법이 매우 난해하지 않는한 이처럼 간단한 방법으로 해결이 가능하다면 세션저장경로의 분리는 나쁘지않은 선택이라고 봅니다.
뭐 더 좋은건 세션이 어디있든 세션고정취약점에 대비할수있도록 위 ss_mb_key 사례처럼 모든 세션에 대한 보안대응이 확실한 방법이겠죠.
@jihan03 정확히는 폴더까지 분리할 필요는 없고 파일 소유자만 잘 설정되면 되긴합니다. 아이디가 겹치는 부분은 어쩔수 없다 해도 적어도 타인의 세션을 읽을수는 없게 됩니다.(권한없음)
카페24의 경우도 /tmp 하나로 세션이 저장되지만 파일별 소유자가 각기 달라 자신의 계정이 소유한 세션파일이 아니라면 읽을수 없게 되어 있습니다.
그래도 그런 조치조차 하지 않은 곳을 대비해서 설정하는것도 잘못된 방법은 아니긴 하죠. 다만... 그렇게 설정한다면 관리자에게 해당폴더 접근을 차단하라고 적극적으로 알렸어야 했습니다. 저도 그누보드 안써본건 아닌데 이번에 처음 해당사실을 알았을정도니 아직 모르고계신분이 더 많을겁니다.
카페24의 경우도 /tmp 하나로 세션이 저장되지만 파일별 소유자가 각기 달라 자신의 계정이 소유한 세션파일이 아니라면 읽을수 없게 되어 있습니다.
그래도 그런 조치조차 하지 않은 곳을 대비해서 설정하는것도 잘못된 방법은 아니긴 하죠. 다만... 그렇게 설정한다면 관리자에게 해당폴더 접근을 차단하라고 적극적으로 알렸어야 했습니다. 저도 그누보드 안써본건 아닌데 이번에 처음 해당사실을 알았을정도니 아직 모르고계신분이 더 많을겁니다.
게시글 목록
| 번호 | 제목 |
|---|---|
| 1717629 | |
| 1717626 | |
| 1717625 | |
| 1717621 | |
| 1717619 | |
| 1717611 | |
| 1717610 | |
| 1717609 | |
| 1717607 | |
| 1717601 | |
| 1717598 | |
| 1717591 | |
| 1717590 | |
| 1717583 | |
| 1717575 | |
| 1717572 | |
| 1717568 | |
| 1717566 | |
| 1717549 | |
| 1717545 | |
| 1717533 | |
| 1717512 | |
| 1717511 | |
| 1717508 | |
| 1717495 | |
| 1717479 | |
| 1717473 | |
| 1717470 | |
| 1717463 | |
| 1717452 |
댓글 작성
댓글을 작성하시려면 로그인이 필요합니다.
로그인하기