아래에 모질라 파이어폭스에서 임의의 코드를 실행할 수 있는 취약성이 발견됨(원문)을 보도하였다. 모질라 재단은 MFSA 2005-42 권고문을 발표하였는데, 모든 독자들이 이를 주의깊게 읽기를 바라는 바이다. 간단히 요약하자면, 서로 합쳐짐으로써 피해자의 컴퓨터에서 임의의 코드를 실행시킬 수 있는 두 가지 문제점이 있는데, 하나는 자바스크립트 코드 주입이며, 다른 하나는 소프트웨어 설치에 이용되는 아이콘의 URL이다. 하지만 아래 기사에 쓰였듯이 임의 코드 실행의 가능성은 더 이상 대부분의 사용자에게 위협이 되지 않는다.
첫번째 결함은 덜 심각하지만, 잠재적으로 중요한 데이터가 유출될 수 있으며, 두 번째 결함에 당하기 쉽게 만든다. 이 취약점은 악의적인 사이트가 프레임과 자바스크립트를 이용해서 다른 사이트에 임의의 자바스크립트를 주입할 수 있게 만든다. 이로써 쿠키와 같은 데이터를 훔치거나 사용자의 소프트웨어 설치 화이트리스트에 올라 있지 않은 사이트에서 소프트웨어 설치를 가능하게 한다. (이것이 사용자가 개입하지 않고 소프트웨어를 설치할 수 있게 하지는 않음을 유념하기 바란다.) 이 결함은 모질라 파이어폭스와 모질라 애플리케이션 스위트 모두에 영향을 끼치며 자바스크립트의 이용을 중단함으로써 막을 수 있다.
두 번째 결함은 더욱 심각하며, 웹사이트에서 (확장과 같은) 소프트웨어를 설치할지를 사용자에게 묻는 다이얼로그 창과 관계가 있다. 모질라 파이어폭스에서는(모질라 애플리케이션 스위트는 해당되지 않음) 이 창에 아이콘을 포함할 수 있으며, 이는 사이트에서 이미지 파일의 URL의 형태로 제공된다. 이 과정에서 URL을 충분히 검사하지 않기 때문에, 이 아이콘의 URL은 실제로는 자바스크립트 코드일 수 있으며, 이는 확인 없이 수행된다. 이 코드가 웹페이지가 아닌 소프트웨어 설치 다이얼로그에서 실행되기 때문에 완전한 chrome 권한을 갖고 실행될 수 있으며 이는 사용자가 파이어폭스에서 할 수 있는 모든 것들을 할 수 있음을 의미하며, 여기에는 소프트웨어의 설치나 파일 삭제 등이 포함된다. 이는 더욱 심각한 결함으로 임의의 코드를 실행하도록 할 수 있으며, 모질라 파이어폭스에만 영향을 끼친다. (모질라 애플리케이션 스위트에는 영향이 없다.) 이는 소프트웨어 설치 기능을 중지함으로써 막을 수 있다.
두 번째 결함 스스로는 사용자의 소프트웨어 설치 화이트리스트에 있는 사이트에 의해서만 영향을 받을 수 있다. 하지만 악의적인 사이트가 화이트리스트의 일부를 알고 있다면 첫번째와 두번째 결함을 동시에 이용하여 임의의 코드를 수행하도록 할 수 있다. 정상적인 파이어폭스 설치 과정을 거쳤을 경우 기본적으로 화이트리스트에는 모질라 업데이트 사이트(update.mozilla.org와 addons.mozilla.org)만 있게 된다. 이로써 모질라 재단은 공격자들이 자신들의 사이트를 통해 결함을 이용하는 것을 서버측에서 막을 수 있다. 즉 여러분이 화이트리스트에 다른 사이트를 추가하지 않았다면 어제 이후로는 코드 실행 약점의 위협을 받지 않는다. 하지만 여전히 여러분은 덜 심각한 자바스크립트 주입 결함에 노출되어 있다.
모질라 업데이트의 서버측 변화와 MFSA 2005-42(아직 읽지 않았다면 읽기 바란다)에 기록된 대응책은 임시적으로 조정된 것이다. 우리는 모질라 재단이 이 문제를 수정한 빌드를 테스트하고 있음을 알고 있으며, 곧 보안 업데이트가 나오기를 기대한다.
No comments yet
Post a comment