헐랭이와 IT보안

휴~ Stefan Esser 가 오늘 발표된 2 개의 취약점 외에 추가로 2 개의 취약점을 더 발표했습니다. 발표 시기나 발표 분량이 불규칙해서 쫓아가기 힘들군요. 날짜 단위로 구분하기도 애매하고... 이제 Month of PHP Bugs 에서 발표된 취약점은 총 9 개가 되었습니다.

추가 발표된 취약점의 리스트는 아래 그림과 같습니다.



추가 발표된 취약점의 특징은 PHP 보안팀의 무능함을 보여주려고 한다는 것입니다. Mr. Esser 입장에서는 두 취약점이 PHP 보안팀이 밥값을 못해서 벌어진 일이라고 보는 거죠.

8 번째 취약점은 phpinfo() 함수의 취약점으로 예전에 발표된 취약점이 다시 불거져 나온 것입니다. 이럴 때 보안 전문가들은 '쟤네들 소스 관리 체계나 변경 관리 체계도 없나봐' 라고 얘기하곤 하는데, 저 같은 경우 상용 유닉스에서 자주 본 모습이라 새삼스러울 것도 없습니다.

phpinfo() 함수가 사용자 입력을 그대로 결과 화면에 출력하기 때문에 XSS 취약점에 노출되어 있다고 발표된게 좀 됐죠? 해당 취약점을 고친 후에 이런 저런 기능이 추가되고 하다보니, 다시 동일한 취약점이 나오게 되었다네요. PHP 4.4.3 부터 4.4.6 최신 버전까지 모두 이 취약점에 노출되어 있다니 아쉽습니다.

해당 취약점에 대해서는 테스트 코드와 수동 테스트 방법이 제공되니까 업무에 참고하시길 바라고, 운영 서버에는 phpinfo() 가 포함된 소스를 find 명령어로 다 뒤져서 제거해주시는 것이 좋겠습니다. 아시다시피 phpinfo() 는 시스템에 대해 너무나 상세한 정보를 해커에게 제공하니까 운영 서버에서 제거하는게 원칙입니다. 모의해킹 하다 보면 80 ~ 90 % 의 운영 서버가 phpinfo() 를 info.php 나 phpinfo.php, test.php 로 웹 서버 루트에 올려놓고 계시더군요. 뚫리기 딱 좋습니다.

9 번째 취약점은 PHP 의 CVS 버전이 가진 취약점입니다. 이 취약점은 PHP 보안팀 입장에선 결정타라고 볼 수 있는데요, 한마디로 '보안에 대해 깊이 있는 지식이 없는 사람들이 보안전문가인척 하면서 대충 소스 고쳐서 오히려 문제를 만들어냈다.' 라는 비난을 받기 딱 좋은거죠.

이 취약점은 PHP 프로젝트가 strncpy, sprintf 같은 취약하다고 알려진 함수들을 strlcpy, spprintf 같은 안전한 함수로 대체하는 와중에 불거져 나온 취약점입니다. 전체 로직에 대한 명확한 이해가 없이 함수를 1:1 로 대치시키니까 코드가 쪽나거나, 멀쩡하던 코드에 버퍼오버플로우 취약점이 생기는 거죠.

CVS 버전의 PHP 는 WDDX extension 에 버퍼오버플로우 취약점이 있다고 하니 주의하시는 게 좋겠습니다. 취약점 검증 도구(Proof of Concept)가 함께 제공되니까 Snapshot 버전 쓰시는 분들은 확인해보시는게 좋겠네요.

외국이나 한국이나 보안 전문가인 척하며 사기치고 다니는 사기꾼들이 진짜 보안 전문가들 속썩이는 건 마찬가지인가 봅니다. (이 부분은 오해의 여지가 있어 삭제합니다)

--- 추가 ---
8 번째 취약점에 대해 추가할 사항이 있습니다.
원래 Stefan Esser 가 발표한 내용에는 4.4.3 부터 4.4.6 이 취약하다고 적혀있는데, PHP 6.0 snapshot 버전에서 테스트한 결과 역시 취약한 것으로 확인되었습니다.

테스트 결과는 다음과 같습니다.



무려 3 군데에서 사용자 입력값을 그대로 반환하는 군요.

PHP 6.0 snapshot 이 취약하다는 것은 얼마전 릴리즈된 PHP 5.2.1 도 역시 취약할 가능성이 매우 높다는 것입니다. 주의하시길 바랍니다.