설명

ecodotempo.com.br 웹사이트 분석 중 저장형 크로스 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 이 취약점은 공격자가 악성 스크립트를 입력 필드에 삽입하여 적절한 살균(sanitization) 없이 다른 사용자에게 렌더링되도록 하며, 특히 인증되지 않은(연결 해제된) 영역의 홈 페이지에서 발생합니다.

영향을 받는 엔드포인트

ecodotempo.com.br/colecoes/itens/cadastrar_realizar.php

영향을 받는 매개변수

name="nome" and name="descricao"

페이로드 예시:

개념 증명(PoC)

ecodotempo.com.br 웹사이트 분석 중 저장형 크로스 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 이 취약점은 공격자가 악성 스크립트를 필드에 삽입하여 나중에 적절한 살균 없이 다른 사용자에게 렌더링되도록 하며, 특히 인증되지 않은(연결 해제된) 영역의 홈 페이지에서 발생합니다.

삽입된 스크립트는 애플리케이션의 백엔드에 영구적으로 저장되었으며, 이스케이프 메커니즘이나 콘텐츠 보안 정책(CSP) 보호 없이 영향을 받는 페이지에 접속하는 모든 방문자의 브라우저에서 실행되었습니다.

ecodotempo.com.br 테스트 중, 저장형 XSS 취약점이 항목 컬렉션(Item Collection) 항목 생성 과정에서 구체적으로 식별되었습니다. 입력 검증, 코드 수준 필터, 웹 애플리케이션 방화벽(WAF), HTTP 보안 헤더와 같은 능동적인 완화 메커니즘 없이 항목 생성의 이름 또는 설명 필드에 악성 페이로드를 삽입할 수 있었습니다.

악성 스크립트가 포함된 컬렉션을 생성한 후 로그아웃하고 컬렉션의 메인 페이지에 접속하여 등록된 항목으로 이동해 클릭하면, 페이로드가 브라우저에서 자동으로 실행되어 팝업이 나타났습니다. 테스트에서 이는 쿠키 스크래핑(cookie scraping)을 시연하는 데 사용되었습니다. 이 동작은 적절한 살균(sanitization)이 부족하고 피해자 브라우저에서 임의의 스크립트 실행이 실제로 가능함을 확인시켜 줍니다. 아래 증거 섹션에서 예시를 확인하세요.

참고: 쿠키 도난 외에도 이 취약점은 사용자를 유해 웹사이트로 리디렉션하거나, 민감한 데이터를 유출하거나, 피싱 공격을 위해 페이지 콘텐츠를 변경하거나, 사용자를 대신하여 작업을 실행하는 등 다양한 악의적인 목적으로 악용될 수 있습니다(영향 섹션에서 이미 설명한 바와 같습니다).

영향

ecodotempo.com.br의 인증되지 않은 영역 메인 페이지에 저장형 XSS 취약점이 존재하는 것은 상당한 보안 위험을 초래합니다. 삽입된 스크립트가 영구적으로 저장되어 영향을 받는 페이지에 접속하는 모든 사용자에게 제공되기 때문에, 다양한 클라이언트 측 공격의 가능성이 열립니다. 공격자는 이 결함을 악용하여 의심하지 않는 방문자의 브라우저에서 임의의 JavaScript를 실행할 수 있으며, 세션 쿠키를 도용하거나, 사용자를 악성 웹사이트로 리디렉션하거나, 사용자의 동의 없이 작업을 수행하거나, 피싱 시도를 위해 페이지 콘텐츠를 조작할 수 있습니다. 이 취약점은 공개적으로 접근 가능한 영역에 노출되어 있으므로, 특히 자동화된 봇이나 표적 캠페인에 의해 대규모로 악용될 가능성이 높아지며, 사용자 신뢰와 플랫폼의 무결성을 훼손할 수 있습니다.

완화 조치

ecodotempo.com.br의 인증되지 않은 영역 메인 페이지에서 발견된 저장형 XSS 취약점을 해결하기 위해 다음 조치를 취해야 합니다:

모든 사용자 입력은 저장되거나 렌더링되기 전에 클라이언트와 서버 양쪽에서 적절히 살균(sanitize) 및 검증되어야 합니다. 특히 HTML 컨텍스트에서 표시될 입력은 <, >, ", ', &와 같은 특수 문자를 인코딩하여 스크립트 실행을 방지해야 합니다. 또한 애플리케이션은 데이터가 삽입되는 컨텍스트(HTML, JavaScript, 속성, URL 등)에 따라 출력 인코딩을 구현해야 합니다.

또한, 승인되지 않은 스크립트의 실행을 제한하기 위해 콘텐츠 보안 정책(CSP)을 적용하고, 인라인 스크립트와 신뢰할 수 없는 소스의 외부 스크립트 로드를 비활성화하는 것을 강력히 권장합니다. 정기적인 코드 검토와 자동화된 보안 테스트(예: OWASP ZAP 또는 Burp Suite와 같은 도구 사용)를 개발 수명 주기에 통합하여 향후 유사한 결함을 탐지하고 방지해야 합니다.

마지막으로, 이미 저장된 악성 페이로드를 식별하여 시스템에서 제거함으로써 기존 위험을 제거해야 합니다.