[지디넷코리아]구글이 피싱 사기 행위나 계정 탈취 등의 공격을 가능하게 하는 보안 취약성을 수정했다고 보안 전문가들이 밝혔다.

이 문제를 발견한 웹 보안 업체인 와치파이어(Watchfire)에 따르면 이 결함은 XSS(cross-site scripting )로 알려진 것으로 구글이 2개의 에러 페이지에 적절한 안전 대책을 마련하지 않은 것이 원인이라고 한다. 와치파이어는 이 문제에 관한 권고를 보안 관련 메일링 리스트로 공개했다.

와치파이어의 보안 조사 담당 이사인 오리 시걸(Ory Segal)에 따르면 이 결함이 악용되면 피싱 사기에 이용당하거나 유저계정을 탈취당할 수 있다고 한다. 피싱은 유저명이나 패스워드, 신용카드 정보, 사회 보장 번호 등 중요한 정보를 가로챈다.
“구글 사이트가 웹 애플리케이션 보안이 우수하다고 알고 있었다. 하지만 이번 것과 같이 애매한 XSS에 대해 대응하는 것을 잊고 있었던 것 같다”(시걸)

구글은 ‘얼마 전에’ 경고를 받아 이 결함을 수정한 것을 인정했다. 구글 관계자는 전자 메일을 통한 성명에서 “위험에 처해진 유저 데이터는 없었다. 취약성의 개시에 관해서 업계의 관행을 따라 준 와치파이어를 높이 평가한다”고 말했다.

와치파이어에 따르면 금지된 리디렉트를 실시하거나 구글 사이트에 없는 페이지를 표시할 때의 에러 페이지 생성 메커니즘에 문제가 있었다고 한다. 이것에 의해 UTF-7(7비트의 Unicode Transformation Format) 문자를 사용해 이 취약성을 악용 할 수 있는 상태였다.

유저가 악질적인 링크를 클릭하거나 특별히 작성된 웹페이지에 액세스 하면 공격이 설치되게 되어 있었다고 시걸은 말했다. “브라우저에 구글의 에러 페이지가 표시되어 그 메시지의 링크에 악질적인 자바스크립트 코드가 첨부되어 온다”(시걸). 코드가 구글에서 송신되어 오기 때문에 구글의 쿠키 등의 데이터에도 액세스가 가능하게 된다고 시걸은 설명했다.

와치파이어에 따르면 구글은 이 문제에 대한 경고를 11월 15일에 받아 12월 1일에 문자 인코딩을 강화해 이를 수정했다고 한다. 와치파이어는 권고 속에서 이번 취약성에 관한 구글의 대응을 칭찬하고 있다.

XSS 결함은 정기적으로 발견되고 있다. 올해 처음으로 핀잔 소프트웨어가 구글의 웹 사이트, MS Xbox 360 웹 사이트로부터 같은 버그를 찾아냈다. 이 결함은 야후의 웹 메일 서비스에서도 발견되었다.

이밖에 구글의 전자 메일 서비스 ‘G메일’에 취약성이 발견되어 수정되었다. 이 취약성이 악용 되었을 경우 G메일 유저의 받은 편지함을 빼앗길 수도 있다. @