iWiz ShareBase

IT Specialist 윤태현의 iWiz ShareBase는 IT뿐 아니라 각종 잡다한 지식들을 함께 나누는 지식공유 커뮤니티입니다.

iWiz,ShareBase,윤태현,Java,JSP,EJB,IT,정보기술,웹프로그래밍,PHP,ASP,DBMS,MySQL,서버,네트워크,server,network,WAS,웹애플리케이션,블로그,blog,웹서버,DB,오라클,oracle,mysql,JRun,웹로직,톰캣,tomcat,아파치,자동차,EF쏘나타,로또 6/45

갤러리 Pixelgrapher.com | 로또 6/45 번호생성 및 통계 데이터 | 전체기사보기 | 전체글 #1 | 전체글 #2 | 전체글 #3 | 전체글 #4 | 전체글 #5 | 전체글 #6 | 전체글 #7 | 전체글 #8 | 전체글 #9 | 전체글 #10 |

iWiz
ShareBase

Cool Sense

Mania Zone

IT Paper

Be FREE!

My Blog

Gallery

About me

Member

지식은 나눌수록 커집니다 - iWiz's ShareBase

웹프로그래밍(기타)

PHP, ASP, Perl, CGI 등 각종 웹프로그래밍에 관한 자료들입니다.

iWiz

(2006-03-14 20:37:01, Hit : 9951, Vote : 3)

http://www.iwiz.pe.kr

http://www.certcc.or.kr/intro/notice_read.jsp?NUM=119&menu=1

공개 웹 게시판 제로보드 취약점 패치 권고

□ 개요
o 최근 국내 PHP 기반의 공개 웹 게시판 제로보드에 대한 보안 취약점이 발견됨.
o 낮은 버전의 제로보드 사용으로 인한, 홈페이지 변조 사고가 빈번히 발생하므로 사용자의 주의 및
패치가 권고됨.

□ 영향
o 원격의 악의적 사용자가 취약한 웹 게시판을 이용하는 피해자 시스템에 악성코드를 설치하거나,
자신 포함한 특정 사용자의 권한을 게시판 관리자 권한으로 상승할 수 있음.
o 해당 취약점을 응용하여 피해자 시스템에 임의의 명령을 실행할 수 있음.

□ 해당시스템
o 제로보드 4.1 pl7 및 이전버전

□ 설명
o 회원 간의 쪽지 교환 시 악의적으로 작성된 HTML 태그를 제로보드가 적절히 필터링하지 않음.
      (※ 쪽지 : 제로보드에서 지원하는 기능으로 회원 간의 간단한 메시지를 교환하기 위해 사용)
o 악의적으로 작성된 쪽지를 받은 회원이 쪽지함 열람 시, 의도되지 않은 스크립트가 회원의 컴퓨터에서 실행됨.
o 악의적 사용자는 이를 이용하여 악의적 쪽지를 일반사용자 혹은 관리자에게 보내고 쪽지함을 열도록 유도하여,
    다음과 같은 행동을 할 수 있음.
    - 게시판 사용자들에게 악성코드를 유포할 수 있음
    - 게시판 관리자 권한의 명령(예. 특정 사용자에 대해 관리자 권한 부여)을 실행할 수 있음
    - 제로보드가 실행되는 대상시스템에 웹 서버 권한으로 임의의 명령을 실행할 수 있음
      (※ php.ini 파일의 allow_url_fopen이 On으로 셋팅된 경우)

□ 해결방안
o 영향 받는 시스템 관리자는 다음 방법으로 업그레이드함.
- 참고사이트[2]를 참고하여 "제로보드 4.1 pl7 보안버그 패치(전체 파일)"를 다운로드하여 설치.

o php.ini의 설정 중, allow_url_fopen 옵션을 Off로 설정.

□ 참고사이트
[1] http://www.inetcop.org/net_bug/view.php?number=42
[2] http://www.nzeo.com/bbs/zboard.php?id=cgi_download2