Firefox_User는 우리에게 모질라 파이어폭스와 마이크로소프트 인터넷 익스플로러가 모두 설치된 윈도우즈의 보안 위협에 대한 CNET News.com 기사 링크를 보내 주었다. 이 문제는 공격자가 원격에서 파이어폭스가 잠재적으로 악의적인 코드를 실행할 수 있게 한다. 하지만, 이 문제에 실제로 피해를 보기 위해서는 사용자가 인터넷 익스플로러를 실행하고 있어야 한다.
보안 연구자 토르 라홀름은 보안 결함의 작동 원리에 대한 설명에 개념 검증(비록 실제로는 이렇게는 작동이 불가능하다고 보고한 사람도 있었지만)을 포함하여 게재하였다. 파이어폭스는 윈도우즈에서 설치되면서 firefoxurl:// URL을 처리하기 위해 URL 프로토콜 핸들러를 등록한다. (이는 http:// 또는 ftp:// URL 프로토콜 핸들러와 유사하게 작동한다.) IE 사용자가 firefoxurl:// URL을 호출(예를 들어 iframe 등으로)하는 웹페이지를 방문하면, IE는 사용자에게 별도의 알림 없이 파이어폭스를 실행하며 URL을 전달한다. IE와 파이어폭스 모두 URL을 회피하거나 정화하지 않는데, 이로써 공격자가 파이어폭스가 실행되는 커맨드에 별도의 파라미터를 주입할 수 있다. -chrome 파라미터와 같이 이용함으로써, 공격자는 파이어폭스가 위험한 자바스크립트 코드를 실행하도록 할 수 있다.
비난받아야 할 대상이 어디인지에 대해서는 다서 논란의 여지가 있다. 입력을 제대로 검증하지 않기 때문에 신뢰할 수 없는 데이터를 다른 애플리케이션 또는 파이어폭스로 보내는 IE의 잘못인가? 시큐리티포커스(SecurityFocus)에서는 이 문제를 마이크로소프트 인터넷 익스플로러 FirefoxURL 프로토콜 핸들러 커맨드 주입 취약성이라 함으로써 레드몬드에 원인을 돌리고 있지만, 시큐니아(Secunia)는 이 문제를 파이어폭스 “firefoxurl” URI 핸들러 등록 취약성이라 하여 모질라를 지목하고 있다. News.com에서는 올리버 프리드릭스 시맨텍의 보안 반응 센터의 올리버 프리드릭스의 “양쪽 다 약간씩 문제가 있다”는 말을 인용하고 있다.
공식 모질라 보안 블로그에서 모질라 코퍼레이션의 윈도우 시드너(마이크로소프트에서 일한 적이 있음)는 앞으로 나올 파이어폭스 2.0.0.5에 패치가 적용될 것이라 하였다. 이 글에서 그녀는 애플이 최근 사파리에서 비슷한 문제를 수정하였음을 말하며 이 문제가 전적으로 IE의 것이라고 간주하고 있는 것으로 보인다. 하지만 ZDNet 제로 데이 보안 블로그에 의하면 마이크로소프트가 firefoxurl:// 버그는 “마이크로소프트 제품의 취약성이 아니다”라고 주장하였다고 한다.
제스퍼 조핸슨(그도 마이크로소프트에서 일한 적이 있음)은 그의 블로그에 firefoxurl:// 결함은 모질라의 문제라 하였다. 그는 URL 프로토콜 핸들러의 등록을 해제하는 방법도 설명하였다.
이 기사에 게재된 링크들을 알려 준 roseman에게 감사를 표린다.
원문: mozillaZine: Security Exploit Uses Internet Explorer to Attack Mozilla Firefox
No comments yet
Post a comment