OAuth ๋ฐ OpenID์˜ ์ž˜๋ชป๋œ ๋ณด์•ˆ ๊ตฌ์„ฑ

OAuth ๋ž€ ์˜จ๋ผ์ธ ์‡ผํ•‘์ฒ˜๋Ÿผ ๋‹ค์–‘ํ•œ ํฌํ„ธ ์‚ฌ์ดํŠธ์—์„œ ๊ตฌํ˜„๋œ ๋กœ๊ทธ์ธ ๋ฐฉ์‹์„ ๋ณด๋ฉด ๋“ฑ๋ก๋œ ID ๋ฐ ํŒจ์Šค์›Œ๋“œ๋กœ ๊ฐ€์ž…ํ•˜๋Š” ๊ฒƒ์ด ์•„๋‹Œ "์†Œ์…œ ๋ฏธ๋””์–ด ๊ณ„์ •"์„ ํ†ตํ•ด ๋กœ๊ทธ์ธํ•˜๋Š” ๋ฐฉ์‹์„ ์ข…์ข… ๋ณผ ์ˆ˜ ์žˆ์Šต๋‹ˆ๋‹ค. OAuth๋ผ๋Š” ๊ฒƒ์ด ์ƒ๊ธฐ๊ธฐ ์ด์ „์—๋Š” ์›น ์„œ๋น„์Šค๋ฅผ ์ด์šฉํ•˜๊ธฐ ์œ„ํ•ด ์‚ฌ์šฉ์ž์˜ ์ด๋ฆ„๊ณผ ์•”ํ˜ธ๋ฅผ ๋“ฑ๋กํ•˜์—ฌ ์‚ฌ์šฉํ–ˆ์Šต๋‹ˆ๋‹ค. ๋‹ค๋ฅธ ์‚ฌ์ดํŠธ๋ฅผ ์ด์šฉํ•  ๋•Œ๋งˆ๋‹ค ์‚ฌ์ดํŠธ๋ณ„ ์‚ฌ์šฉ์ž์˜ ์ด๋ฆ„๊ณผ ์•”ํ˜ธ๋ฅผ ์ƒˆ๋กœ ์ง€์ •ํ•ด์ค˜์•ผ ํ•˜๋Š” ๋ฒˆ๊ฑฐ๋กœ์›€์ด ์žˆ์—ˆ์Šต๋‹ˆ๋‹ค. ๊ทธ๋ž˜์„œ ๋ณ„๋„์˜ ๊ณ„์ •์„ ๋งŒ๋“ค์ง€ ์•Š๊ณ  ์ธ์ฆ๋ฐ›์€ ํƒ€์‚ฌ ์•ฑ์„ ์ด์šฉํ•ด ๊ถŒํ•œ์„ ๋ถ€์—ฌํ•  ์ˆ˜ ์žˆ๋Š” ์ค‘์•™๊ธฐ๊ด€์˜ ํ•„์š”์„ฑ์ด ๋Š๋ผ๊ฒŒ ๋˜์—ˆ๊ณ  ๊ทธ๊ฒƒ์„ ํ•ด๊ฒฐํ•  ์ˆ˜ ์žˆ๋Š” ๊ฒƒ์ด ์ด OAuth ํ”„๋ ˆ์ž„์›Œํฌ ๋ผ๊ณ  ๋ณด์‹œ๋ฉด ๋ฉ๋‹ˆ๋‹ค. ์ด ๊ธฐ๋Šฅ์„ ์ด์šฉํ•  ๊ฒฝ์šฐ ์‚ฌ์ดํŠธ๋ฅผ ์ด๋™ํ•  ๋•Œ๋งˆ๋‹ค ํšŒ์›๊ฐ€์ž…, ๊ณ„์ • ์ž…๋ ฅ์„ ํ•˜์ง€ ์•Š๊ณ  ํŠน์ • ์†Œ์…œ๋ฏธ๋””์–ด์˜ ๊ณ„์ • ํ•˜๋‚˜..

WEB
CSTI(Client Side Template Injection) ์ทจ์•ฝ์ 

CSTI ๋ž€? Client Side Template Injection์œผ๋กœ ํด๋ผ์ด์–ธํŠธ ์ธก์—์„œ ์‚ฌ์šฉ๋˜๋Š” ํ…œํ”Œ๋ฆฟ์— ์ž„์˜ ๊ตฌ๋ฌธ์„ ์ฃผ์ž…ํ•œ๋‹ค๋Š” ์˜๋ฏธ๋ฅผ ๊ฐ€์ง‘๋‹ˆ๋‹ค. ๋ธŒ๋ผ์šฐ์ € ์ƒ์—์„œ ์ž…๋ ฅ๋œ ํ…œํ”Œ๋ฆฟ ํ‘œํ˜„์‹์„ ํ”„๋ก ํŠธ ์ธก์—์„œ ์ดํ•ดํ•˜๊ณ  ์›ํ•˜๋Š” ๊ฒฐ๊ณผ๋ฅผ ๋ณด์—ฌ์ค€๋‹ค๋Š” ๊ฒƒ์€ ๊ณต๊ฒฉ์ž ๊ด€์ ์—์„œ ํ…œํ”Œ๋ฆฟ ํ‘œํ˜„์‹ + ์ž๋ฐ”์Šคํฌ๋ฆฝํŠธ ๊ตฌ๋ฌธ ์กฐํ•ฉ์„ ํ†ตํ•ด XSS๋ฅผ ์‹œ๋„ํ•  ๊ฐ€์น˜๊ฐ€ ์žˆ๋Š” ์ทจ์•ฝ์ ์ž…๋‹ˆ๋‹ค. ์ผ๋ฐ˜์ ์œผ๋กœ XSS ์ทจ์•ฝ์ ์˜ ์˜ํ–ฅ๋„์™€ ์œ ์‚ฌํ•˜์ง€๋งŒ ์˜จ์ „ํžˆ ์ž๋ฐ”์Šคํฌ๋ฆฝํŠธ ๊ตฌ๋ฌธ์œผ๋กœ ์‹คํ–‰์‹œํ‚ค๋Š๋ƒ ํ…œํ”Œ๋ฆฟ ํ‘œํ˜„์‹์— ๋‹ด์•„์„œ ์‹คํ–‰ํ•˜๋Š๋ƒ์˜ ์ฐจ์ด๊ฐ€ ์กด์žฌํ•ฉ๋‹ˆ๋‹ค. ๊ณต๊ฒฉ์ž๋Š” ์ƒŒ๋“œ๋ฐ•์Šค์—์„œ ํ—ˆ์šฉ๋˜๋Š” ํ•จ์ˆ˜($eval ์ œ๊ณต)์™€ ๊ฐ์ฒด(toString(), charAt(), trim(), prototype, and constructor)์™€ ํ‘œํ˜„์‹ "{{}}" ๋˜๋Š” "[]"๋ฅผ ํ†ตํ•ด ์ƒŒ๋“œ๋ฐ•์Šค๋ฅผ ..

WEB
๊ธฐ์—… ๋„๋ฉ”์ธ์˜ DMARC ๋ ˆ์ฝ”๋“œ ๋ถ„์„

DMARC ๋ž€? SPF, DKIM ๋ฐ DMARC๋Š” ์ด๋ฉ”์ผ ์ธ์ฆ ํ”„๋กœํ† ์ฝœ๋กœ ํšŒ์‚ฌ์˜ ์ด๋ฉ”์ผ ๋„๋ฉ”์ธ์œผ๋กœ ํ•˜์—ฌ๊ธˆ ์Šคํ‘ธํ•‘, ํ”ผ์‹ฑ๊ณผ ๊ฐ™์€ ์‚ฌ์ด๋ฒ„ ๋ฒ”์ฃ„์— ์‚ฌ์šฉ๋˜์ง€ ์•Š๋„๋ก ์œ ํšจ์„ฑ ์ฒดํฌ๋ฅผ ํ•˜์—ฌ ๊ธฐ์—…์˜ ๋„๋ฉ”์ธ์„ ๋ณดํ˜ธํ•˜๊ณ  ํ’ˆ์งˆ์„ ๊ฐœ์„ ์‹œ์ผœ์ค„ ์ˆ˜ ์žˆ๋Š” ๋ฐฉ๋ฒ•์œผ๋กœ, Google, Microsoft, Yahoo๋ฅผ ํฌํ•จํ•œ ์ฃผ์š” ์ด๋ฉ”์ผ ์ œ๊ณต ์—…์ฒด์ธ Paypal, Facebook, Linkedin ๋“ฑ ๊ณผ ํ˜‘๋ ฅํ•˜์—ฌ ์•…์„ฑ ๋ฉ”์ผ์„ ๋ฐฉ์ง€ํ•˜๊ธฐ ์œ„ํ•ด ๊ตฌํ˜„ํ•œ ์ธ์ฆ ๋ฉ”์ปค๋‹ˆ์ฆ˜์ž…๋‹ˆ๋‹ค. ์ •์ฑ…์ด ๊ตฌํ˜„๋˜์–ด ์žˆ์„ ๊ฒฝ์šฐ ์ˆ˜์‹  ์ด๋ฉ”์ผ์„ ๊ฒ€์‚ฌ -> ์ด๋ฉ”์ผ ์ธ์ฆ ํ†ต๊ณผ ์‹œ ์ „์†ก -> ํ†ต๊ณผํ•˜์ง€ ๋ชปํ•  ๊ฒฝ์šฐ ๋ ˆ์ฝ”๋“œ์— ํฌํ•จ๋œ ์ง€์นจ์— ๋”ฐ๋ผ ์ด๋ฉ”์ผ ์ „์†ก(none ๋˜๋Š” Approve), ๊ฒฉ๋ฆฌ(Quarnatine), ๊ฑฐ๋ถ€(Reject)๋ฅผ ํ•  ์ˆ˜ ์žˆ์Šต๋‹ˆ๋‹ค. ์ตœ๊ทผ DMARC๊ฐ€ ๊ธ‰๋ถ€์ƒํ•œ ์ด..

WEB
Log4j ์ทจ์•ฝ์ (CVE-2021-44228)

๊ฐœ์š” 12์›” 10์ผ๊ฒฝ ์นœ๊ตฌ๋“ค๊ณผ ์ˆ ์ง‘์—์„œ ์กฐ์ดํ•˜๊ฒŒ ์ˆ  ํ•œ์ž” ํ•˜๊ณ  ์žˆ์„ ๋•Œ ๋‹ค์–‘ํ•œ ํฌํ„ธ์‚ฌ์ดํŠธ์—์„œ ๋ณด์•ˆ์‚ฌ๊ณ ๊ฐ€ ๋ฐœ์ƒํ–ˆ๋‹ค๋Š” ๊ธฐ์‚ฌ๋ฅผ ์ ‘ํ•˜๊ฒŒ ๋˜์—ˆ์Šต๋‹ˆ๋‹ค. CVE-2021-44228(JNDI Injection) ๋„˜๋ฒ„๋ฅผ ๋ถ€์—ฌ๋ฐ›์€ log4j ์ทจ์•ฝ์ ์€ Apache์˜ "Log For JAVA"์ด๋ฆ„์„ ๊ฐ€์ง„ ๋ง ๊ทธ๋Œ€๋กœ JAVA ๊ธฐ๋ฐ˜ ๋กœ๊น… ํ”„๋ ˆ์ž„์›Œํฌ๋กœ ๊ฐœ๋ฐœ์ž๋“ค์ด ๋””๋ฒ„๊ทธ ์šฉ๋„๋กœ ๋งŽ์ด ์‚ฌ์šฉํ•˜๊ณ  ์žˆ๋Š” ๋งŒํผ ๊ณต๊ฒฉ์— ํฌ์ƒ๋  ์ˆ˜ ์žˆ๋Š” ๋ฒ”์œ„๊ฐ€ ๋„ˆ๋ฌด ๋„“์Šต๋‹ˆ๋‹ค. ๊ตญ๋‚ด ์ „์ž์ •๋ถ€ํ‘œ์ค€ ํ”„๋ ˆ์ž„์›Œํฌ์˜ 3.1 ~ 3.10 ๋ฒ„์ „์—์„œ log4j 2.0 ~ 2.12.1์„ ์‚ฌ์šฉํ•˜๊ณ  ์žˆ๋Š” ๋งŒํผ ํ•ด์™ธ/๊ตญ๋‚ด๋ฅผ ๊ฐ€๋ฆฌ์ง€ ์•Š๊ณ  ์—ฌ๋Ÿฌ ๊ฐœ๋ฐœ์ž, ๋ณด์•ˆ๋‹ด๋‹น์ž, ์—”์ง€๋‹ˆ์–ด๋ถ„๋“ค์ด ๋งŽ์€ ์ˆ˜๊ณ ๋ฅผ ํ•ด์ฃผ์…จ์„ ๊ฒƒ์œผ๋กœ ํŒ๋‹จ๋ฉ๋‹ˆ๋‹ค. ์ „์ž์ •๋ถ€ ํ”„๋ ˆ์ž„์›Œํฌ: https://www.egovframe.go...

WEB
Atlassian RCE ์ทจ์•ฝ์ 

๊ฐœ์š” ์•„ํ‹€๋ž€์‹œ์•„์˜ ๋Œ€ํ‘œ์ ์ธ ์ทจ์•ฝ์  ์‚ฌ๋ก€๋“ค์„ ์•Œ์•„๋ณด๋Š” ๋งˆ์ง€๋ง‰ ์ฑ•ํ„ฐ์ž…๋‹ˆ๋‹ค. ์ด๋ฒˆ์—๋Š” ๋น„๊ต์  ํŒŒ๊ธ‰ํšจ๊ณผ๊ฐ€ ํฐ RCE(Remote Code Excution) ํฌ์ธํŠธ๋ฅผ ์•Œ์•„๋ณด๊ฒ ์Šต๋‹ˆ๋‹ค. ๋Œ€๋ถ€๋ถ„์˜ ์˜คํ”ˆ์†Œ์Šค ํ”„๋ ˆ์ž„์›Œํฌ ๊ด€๋ จํ•ด์„œ ๋„์ถœ๋œ ์ทจ์•ฝ์ ๋“ค์€ ๋‚ด๋ถ€์˜ ์›๋ณธ ์ฝ”๋“œ๋ฅผ ํ™•์ธํ•  ์ˆ˜ ์žˆ๊ธฐ ๋•Œ๋ฌธ์— ์ •์ ์ธ ๋ถ„์„์„ ํ†ตํ•ด ์‹œ์Šคํ…œ์— ์ง์ ‘์ ์ธ ์นจํ•ด๋ฅผ ๊ฐ€ํ•  ์ˆ˜ ์žˆ๋Š” ํฌ์ธํŠธ๋ฅผ ์ฐพ์•„๋‚ด๋Š” ์ผ€์ด์Šค๊ฐ€ ๋งŽ์Šต๋‹ˆ๋‹ค. Sever Template Injection(CVE-2019–11581) ๊ณต๊ฒฉ ํฌ์ธํŠธ๋Š” ์ฒซ๋ฒˆ์งธ๋กœ JIRA์„œ๋ฒ„์— SMTP ๊ตฌ์„ฑ์ด ๋˜์–ด ์žˆ๊ณ  "bulk email send(๋Œ€์šฉ๋Ÿ‰ ๋ฉ”์ผ ๋ณด๋‚ด๊ธฐ)" ๋˜๋Š” "Contact Admin"์ด ํ™œ์„ฑํ™”๋˜์–ด ์žˆ์–ด์•ผ ํ•ฉ๋‹ˆ๋‹ค. 4.4.0 < 7.6.14, 7.7.0 < 7.13.5 8.0.0 < 8.0.3 8.1.0..

WEB
Atlassian REST API ์ทจ์•ฝ์ 

๊ฐœ์š” ์ตœ๊ทผ ์นจํ•ด์‚ฌ๊ณ  ๋™ํ–ฅ(2021 OWASPํฌํ•จ)์„ ์œ ์‹ฌํžˆ ๋ณด์‹œ๋ฉด ์–ด๋–ค ๋ฌธ์ œ๋กœ ๋ฏผ๊ฐํ•œ ์ •๋ณด๊ฐ€ ์œ ์ถœ์ด ๋˜๋Š”์ง€ ์ถ”์ธกํ•  ์ˆ˜ ์žˆ์Šต๋‹ˆ๋‹ค. ๋Œ€ํ‘œ์ ์œผ๋กœ ์—”๋“œํฌ์ธํŠธ(End-Point)์— ๋Œ€ํ•œ ๋ณด์•ˆ์ด ์ œ๋Œ€๋กœ ๊ฐ–์ถฐ์ ธ์žˆ์ง€ ์•Š์€ ์ƒํƒœ๋กœ ์„œ๋น„์Šค๊ฐ€ ์ œ๊ณต๋˜์–ด ๊ณต๊ฒฉ์ž๋“ค์ด ์ด๋ฅผ ์•…์šฉํ•˜์—ฌ ํ‘œ๋ฉด์ƒ ์ ‘๊ทผํ•  ์ˆ˜ ์—†๋Š” ์˜์—ญ์— ๋ฌด๋‹จ์œผ๋กœ ์ง์ ‘ ์ ‘๊ทผ ์‚ฌ๋ก€๊ฐ€ ๋‹ค์ˆ˜ ๋ฐœ์ƒํ•˜๊ณ  ์žˆ์Šต๋‹ˆ๋‹ค. ์šฐ์„  API ๋Š” "Application Programming Interface"์˜ ์•ฝ์ž๋กœ ์›น์–ดํ”Œ๋ฆฌ์ผ€์ด์…˜์—์„œ ๋ฐ์ดํ„ฐ๋ฅผ ์ฃผ๊ณ ๋ฐ›๊ณ  ์ด๋ฅผ ์–ด๋–ค ๋ฐฉ์‹์œผ๋กœ ์š”์ฒญํ•˜๊ณ  ์ฒ˜๋ฆฌํ• ์ง€์— ๋Œ€ํ•ด ๊ทœ๊ฒฉ์„ ์ •ํ•ด๋†“์€ ์ธํ„ฐํŽ˜์ด์Šค๋ผ๊ณ  ๋ณด์‹œ๋ฉด ๋ฉ๋‹ˆ๋‹ค. ๊ทธ๋ฆฌ๊ณ  API ์ „์†ก์—๋Š” 2๊ฐ€์ง€์˜ ๋ฐฉ์‹์ด ์กด์žฌํ•ฉ๋‹ˆ๋‹ค.(SOAP/REST) REST๋ฐฉ์‹์€ "JSON"๋ฐฉ์‹์„ ํ†ตํ•ด ๋ฐ์ดํ„ฐ๋ฅผ ์ฒ˜๋ฆฌํ•˜๊ธฐ์— SOAP๋ณด๋‹ค ์†๋„๋ฉด์—์„œ ์ข€ ..

WEB
Atlassian XSS ์ทจ์•ฝ์ 

๊ฐœ์š” ์ตœ๊ทผ ์•„ํ‹€๋ž€์‹œ์•„ ํ™˜๊ฒฝ์˜ ํ…Œ์ŠคํŠธ๋ฅผ ์ง„ํ–‰ํ•˜๋ฉด์„œ ๋ช‡ ๊ฐ€์ง€ ๊ธฐ๋กํ•ด๋‘” ์ •๋ณด๋ฅผ ๊ณต์œ ํ•˜๊ณ ์ž ํ•ฉ๋‹ˆ๋‹ค. ์•„ํ‹€๋ž€์‹œ์•„๋ž€ ๊ฐ„๋‹จํžˆ ์–˜๊ธฐํ•ด ๊ฐœ๋ฐœํ•œ ํ”„๋กœ์ ํŠธ๋กœ ๊ณ„ํš/๊ด€๋ฆฌ ๋ฐ ํ˜‘์—…์ด ๊ฐ€๋Šฅํ•˜์—ฌ ๋‹ค์–‘ํ•œ ์ง์—…๊ตฐ์—์„œ ์‚ฌ์šฉ๋˜๊ณ , ๊ธฐ๋ณธ์ ์œผ๋กœ ์—…๋ฌด์— ๋Œ€ํ•œ ๋‚ด์šฉ ๊ณต์œ ๊ฐ€ ๊ฐ€๋Šฅํ•ฉ๋‹ˆ๋‹ค. ๋˜ํ•œ ์ผ์ •, ํŒŒ์ผ, ๋“ฑ์„ ์ €์žฅํ•˜์—ฌ ์‚ฌ์šฉํ•  ์ˆ˜ ์žˆ๋Š” ํ”„๋กœ์ ํŠธ ๊ด€๋ฆฌ ์†Œํ”„ํŠธ์›จ์–ด์ด๊ธฐ ๋•Œ๋ฌธ์— IT์—…์ข…์—์„œ ๊ทผ๋ฌดํ•˜์‹œ๋Š” ๋ถ„๋“ค์ด๋ผ๋ฉด ํ•œ ๋ฒˆ์ฏค์€ ์‚ฌ์šฉํ•ด๋ณด์‹œ๊ฑฐ๋‚˜ ๋“ค์–ด๋ณด์…จ์„ ๊ฒ๋‹ˆ๋‹ค. ์ด๋Ÿฐ ์˜คํ”ˆ์†Œ์Šค ํ”Œ๋žซํผ์„ ์ด์šฉํ•˜๋‹ค๋ณด๋ฉด ์‚ฌ์šฉ์˜ ํŽธ๋ฆฌ์„ฑ์€ ์ฆ๊ฐ€ํ•˜์ง€๋งŒ ๊ทธ๋งŒํผ ๊ณต๊ฐœ๋  ์ˆ˜ ์žˆ๋Š” ์ทจ์•ฝ์ ์˜ ๊ฐ€๋Šฅ์„ฑ๋„ ํ•จ๊ป˜ ์ฆ๊ฐ€ํ•  ์ˆ˜ ์žˆ๋‹ค๋Š” ๋‹จ์ ์ด ์กด์žฌํ•ฉ๋‹ˆ๋‹ค. Issue Collector(CVE-2018-5230) CVE-2018-5230์˜ ๋„˜๋ฒ„๋ง์„ ๋ถ€์—ฌ๋ฐ›์€ ์ทจ์•ฝ์ ์œผ๋กœ Jira Software์—์„œ ๋ฆฌ์ŠคํŠธ์—… ๋œ Is..

WEB