공지사항
FAQ
미확인입금자
입금확인메일
결제안내
기술지원
접속통계서비스
게시판서비스
웹메일서비스
포워딩서비스
파킹서비스

제 목    제로보드 XE 패치 공지
등록일    2010/03/18 조회수    750
제목 : 제로보드 XE 패치 공지

안녕하십니까?

ITNBIZ 호스팅 담당자 입니다.

제로보드XE 버전에서 원격의 사용자가 제로보드 XE 관리자 권한을 획득할 하여 시스템 내의 임의의 파일 읽기, PHP 명령실행 등이 가능하며, 이를 이용한 웹 변조, 원격 실행 등이 발생할 수 있는 취약점이 발견되었습니다.

이 보안 취약점은 해당 취약점을 이용한 홈페이지 변조 및 원격 실행 위협이 발생함에 따라, 사용자 주의 및 조속한 패치가 필요합니다.

제로보드 XE를 사용하시는 고객께서는 아래 관련내용을 참조하시어 보안패치를 해 주시기 바랍니다.

고객님께서 미처 패치하지 못한 사항에 대해서는 데이콤 호스팅에서 4월 1일 이후,
패치되지 않은 버전에 대해서 일괄 패치 할 예정이오니 업무에 참고하시기 바랍니다.

□ 개요
o 최근 국내 PHP 기반의 공개 웹 게시판 제로보드 XE에 대한 XSS 관련 보안 취약점이 발견됨
o 해당 취약점을 이용한 홈페이지 변조 및 원격 실행 위협이 발생함에 따라, 사용자 주의 및
조속한 패치가 필요함

□ 영향
o 원격의 사용자가 제로보드 XE 관리자 권한을 획득할 수 있음
o 획득한 관리자 권한을 이용하여 시스템 내의 임의의 파일 읽기, PHP 명령실행 등이 가능하며,
이를 이용한 웹 변조, 원격 실행 등이 발생할 수 있음

□ 해당시스템
o 영향 받는 시스템
- 제로보드 XE 1.4.0.9 이하 버전
o 영향 받는 않는 시스템
- 제로보드 XE 1.4.0.10 버전

□ 해결방안
o 신규 제로보드 XE 설치 사용자의 경우 [3]
- "공식사이트(www.xpressengine.com) - Download - 자료분류(XE Core)" 메뉴에서 취약점이 패치된 XpressEngine Core ver. 1.4.0.10 버전을 다운로드하여 설치

o 취약점이 존재하는 버전의 기존 제로보드 XE 사용자의 경우 [1]
- 변경된 일부 파일 업데이트
* 공식사이트(www.xpressengine.com)에 취약점이 패치된 xe.1.4.0.10.changed.tgz (http://www.xpressengine.com/?module=file&act=procFileDownload&file_srl=18776626&sid=52498cb12a013b83e3c6a455a0638b60) 를
다운로드 받아 압축을 해제하여 config.inc.php 파일과 func.inc.php 파일을 운영중인 XE의
config 디렉토리에 설치
- 또는 소스 코드 수정
* 기존 ./config/func.inc.php 파일 내용 일부를 아래와 같이 수정

[소스 수정]
$attrs = preg_replace('/(\r|\n| )+on(click|dblclick|mousedown|mouseup|mouseover|mouseout|mousemove|keydown|keyup|keypress|load|unload|abort|error|select|change|submit|reset|resize|scroll|focus|blur|forminput|input|invaild|drag|dragend|dragenter|dragleave|dragover|dragstart|drop|mousewheel|scroll|canplay|canplaythrough|durationchange|emptied|ended|error|loadeddata|loadstart|pause|play|playing|progress|ratechange|readystatechange|seeked|seeking|stalled|suspend|timeupdate|volumechange|waiting|message|show)+([= ]+)/is', ' _on$2=',$attrs);


[참고사이트]
[1] http://www.xpressengine.com/18776625
[2] http://www.xpressengine.com/notice
[3] http://www.xpressengine.com/?mid=download&category_srl=18322907&package_srl=18325662
쉶궗냼媛 媛쒖씤젙蹂댁랬湲됰갑移 쉶썝빟愿 궗씠듃留