제로보드 v4 보안 패치 추가 릴리즈

제로보드 4.x 대 버전의 보안 패치가 릴리즈 되었습니다. 새로 릴리즈된 패치는 Zeroboard 4.1 pl 8 에 대한 추가 수정 사항이 되는군요.

download.php 를 보니

16: // 현재글의 Download 수를 올림;;
17: mysql_query("update $t_board"."_$id set download".$filenum."=download".$filenum."+1 where no='$no'");

였던 원 소스를 패치에서

16: // 현재글의 Download 수를 올림;;
17:    if($filenum==1) {
18:        mysql_query("update `$t_board"."_$id` set download1=download1+1 where no='$no'");
19:    } else {
20:        mysql_query("update `$t_board"."_$id` set download2=download2+1 where no='$no'");
21:    }

로 고쳤습니다.
$filenum 변수에 대한 SQL injection 취약점 패치가 아닌가 싶군요.

보안 패치를 릴리즈할 때는 해당 프로그램을 사용하는 사용자 입장에서 보다 상세한 정보가 포함되었으면 하는 바램입니다. 어떤 문제가 어떻게 수정되었는지, 어느 정도 위험이 있는 건지, PHP 의 어떤 옵션에 영향을 받는지 등 상세 정보가 없으면 패치를 적용해야 하는 입장에선 막연하고 남들한테 설명하기도 힘들죠.

참고 자료 :
1. download.php 취약점 설명
2. 제로보드 홈페이지 pl8 설명

--- 추가 ---
KISA 에서 해당 문제에 대한 보안 공지문을 냈군요.
http://www.krcert.or.kr/secureNoticeView.do?num=192&seq=-1