탭 브라우져 개인정보 탈취 위험 결함 노출

[Ramza]

인터넷 익스플로러 이외의 탭 브라우징을 지원하는 모질라/파이어폭스, 오페라, 애플의 사라지, AOL의 넷스케입, 리눅스기반의 컨커러에서 웹 사이트에 입력하는 중요한 정보를 탈취당할 수 있는 결함이 발견되어 주의가 요망된다.

보안 전문업체인 시큐니아가 통보한 바에 따르면 이 브라우져들은 사용자들이 다수의 페이지/웹사이트를 로딩하고 이를 페이지간의 빠른 전환을 가능하게 하는 탭 브라우징 기능을 제공한다.

이 탭 브라우징기능에서 결함이 발견되어 해커들이 하나의 탭 윈도우에서 대화 상자를 구동하게 한 후에 이것이 마치 다른 탭 윈도우에서 나타나는 것처럼 보이게 할 수 있다는 것이다. 즉 한 탭 윈도우에서 개인 정보나 은행 계좌 같은 중요한 정보를 입력하는 것이 다른 탭의 윈도우에 열린 곳으로 정보가 새 나갈 수 있다는 것이다.

시큐니아는 웹 사이트를 통해서 어떻게 이 결함을 악용한 코드가 정보를 탈취할 수 있는지 보여주고 있다 일례로 시티은행의 로그인 사이트를 다른 사이트로 위장하도록 하여 다른 탭으로 보여주고 사용자가 관련 정보를 넣으면 이것이 엉뚱한 것으로전송되도록 하는 것이다.

결함을 가지고 있는 브라우져는 Mozilla 1.7.2/1.7.3, Firefox 0.10.1, Opera 6.x/7.x, Safari 1.x, Netscape 7.x, Konqueror 3.x이다.

몇 몇 브라우져에서는 이미 이 결함에 대해서 수정을 했으며 곧 수정을 할 예정이다. 컨커러의 경우 KDE 3.3.1과 같이 출시된 버전에서는 이 결함이 수정되었으며 최근 발표된 모질라/파이어폭스의 경우에도 패치가 발표되었고 오페라 역시 이 문제를 7.6 버전에서 이를 해결할 예정이다.

사용자들은 이를 해결하기 위해서 브라우져내의 자바 스크립트를 비활성화하거나 신뢰할 수 없는 웹사이트- 특히 금융 기관이나 쇼핑 몰-를 방문하지 말 것을 권장했다.



http://news.kbench.com

어여 업데이트 하시기 바랍니다

[헉스...]

어떻게 업데이트 해야 하나요......
모질라라고 문제없는건 아니군요...
하두 불여우..불여우.. 해서..
쓰고 있는데...

[oragi]

이 문제에 관한 파이어 폭스의 업데이트는 아직 안 나온걸로 알고
있습니다만...

[지나다가...]

결함을 가지고 있는 브라우져는 Mozilla 1.7.2/1.7.3, Firefox 0.10.1, Opera 6.x/7.x, Safari 1.x, Netscape 7.x, Konqueror 3.x이다.

몇 몇 브라우져에서는 이미 이 결함에 대해서 수정을 했으며 곧 수정을 할 예정이다. 컨커러의 경우 KDE 3.3.1과 같이 출시된 버전에서는 이 결함이 수정되었으며 최근 발표된 모질라/파이어폭스의 경우에도 패치가 발표되었고 오페라 역시 이 문제를 7.6 버전에서 이를 해결할 예정이다.

사용자들은 이를 해결하기 위해서 브라우져내의 자바 스크립트를 비활성화하거나 신뢰할 수 없는 웹사이트- 특히 금융 기관이나 쇼핑 몰-를 방문하지 말 것을 권장했다.



http://news.kbench.com

어여 업데이트 하시기 바랍니다

어제 이뉴스보구 구글에서 찾아보니 원문기사로 보이는 기사를 찾을 수 있더군요.
그런데 약간 이상한 점이 케벤뉴스에선 파이어폭스 0.10.1버전이 문제가 있다고 했고 패치가 발표되었다고하나 현재 패치는 없는듯보입니다.
나이트버전이면 모르겠지만요.
(영어가 짧아서 원문기사의 정확한 뜻을 모르겠지만 마지막부분은 오역두 있는 듯)
신뢰할 수없는 사이트가 금융기관이나 쇼핑몰이라니-_-;;;
탭브라우져 사용할 시, 신뢰할 수 있는 사이트와 신뢰할 수 없는 사이트를 동시에 이용하지 마라인거같은데...


아래가 원문사이트같습니다.
http://www.internetnews.com/security/ar ... hp/3424491

[ramza]

모든 브라우저가 각각의 다른 취약점들에 취약하다는 보고가 오늘 발표되었다. 먼저 이 취약점은 XP SP1/SP2 패치를 적용시킨 IE에도 해당된다. 오페라, 모질라, 모질라 파이어팍스, Camino, Safari, 넷스케이프, 컹커러, Avant 브라우저, Maxthon도 모두 새로 발견된 스푸핑 취약점에 취약하다.

스푸핑 테스트(시큐니아) : http://secunia.com/multiple_browsers_di ... fing_test/


폼필드 포커스 테스트(시큐니아) : http://secunia.com/multiple_browsers_fo ... ocus_test/

출처:슬래시닷

위 테스트 페이지에서 해보니 역시나 문제가...

불여시 업데이트는 정확한 정보가 없네요

[퍼런사오정]

먼저 좋은 자료를 알려주신 ramza님에게 감사드립니다.

[quote="ramza"]
스푸핑 테스트(시큐니아) : http://secunia.com/multiple_browsers_di ... fing_test/

폼필드 포커스 테스트(시큐니아) : http://secunia.com/multiple_browsers_fo ... ocus_test/
[quote]






가) 탭화면 간의 대화상자 스푸핑의 동작개요
-----------------------------------------------

<ol>
<li> 우연히 '나빠요'사이트를 방문합니다.


<li> '나빠요'사이트를 구경하다가 '부자되세요'은행사이트의 링크를 발견하고, 마우스포인터를 링크위에 위치시킵니다.
바로 이 때, 이 링크에 아래와 같이 설정된 onMouseOver 이벤트핸들러에 의해서 스푸핑 코드가 실행됩니다.

<a href="http://부자.은행.com/" onMouseOver="setTimeout('spyDialogBox(); setTimeout(\'activated = false;\', 1500);', 6000);">부자되세요은행</a>

즉, 6초뒤에 대화상자를 띄우게 됩니다.
6초뒤면 부자되세요은행사이트를 탭화면으로 보고 있는 중일 수도 있고,
아닐 수도 있겠지요 ???
왜냐하면 아직 클릭한게 아니니까요 ????

참고로, onMouseOver 대신에 OnClick을 사용할 수도 있습니다.


<li> '부자되세요'은행사이트 링크를 새탭으로 열기를 하여 방문합니다. 브라우져 화면에는 '부자되세요'은행사이트가 새탭으로 열리겠지요.
스푸핑 코드에 설정된 타임아웃시간이 지나자 대화상자가 뜨면서 어떤 정보를 입력하라고 합니다.
물론 이용자는 '부자되세요'은행사이트의 탭화면에서 대화상자를 띄운 줄 알고
정보를 입력합니다.

그러면, 그 정보는 사실은 '나빠요'사이트가 접속된 탭화면에서 띄운 것이므로
'나빠요'사이트로 정보가 빠져 나갈 것입니다.
</ol>





나) 탭화면간의 폼필드 포커스 스푸핑 동작 개요.
---------------------------------------------------

<ol>
<li> 우연히 '나빠요'사이트를 방문합니다.


<li> 이 '나빠요'사이트에는 아래와 같은 폼필드가 존재합니다.
숨어있어서, 화면에 나타나지 않을 수도 있습니다.

<form name="myform">
<textarea name="userinput" rows="3"></textarea>
</form>


<li> '나빠요'사이트를 구경하다가 '부자되세요'은행사이트의 링크를 발견하고, 마우스포인터를 링크위에 위치시킵니다.
바로 이 때, 이 링크에 아래와 같이 설정된 onMouseOver 이벤트핸들러에 의해서 스푸핑 코드가 실행됩니다.

<a href="http://부자.은행.com/" onMouseOver="setInterval('document.myform.userinput.focus();', 10);">부자되세요은행</a>

즉, myform의 userinput의 입력창을 0.01초마다 키입력이 되도록 활성화를 시킵니다. userinput의 입력창으로 키입력이 되도록 하는 것입니다.

참고로, onMouseOver 대신에 OnClick을 사용할 수도 있습니다.


<li> '부자되세요'은행사이트 링크를 새탭으로 열기를 하여 방문합니다. 브라우져 화면에는 '부자되세요'은행사이트가 새탭으로 열리겠지요.
이용자는 '부자되세요'은행사이트의 vip회원으로 로그온을 하려고 하겠지요.
로그온 입력창에 아이디와 패스워드를 입력합니다.

그러면, 이 때의 키입력은 '부자되세요'은행사이트의 로그온 입력창에 입력이
되는 것이 아니라 '나빠요'사이트의 userinput 입력창에 입력이 됩니다.
왜냐하면, 0.01초만다 userinput 입력창이 활성화되기 때문입니다.
그러면, 그 정보는 '나빠요'사이트로 정보가 빠져 나갈 것입니다.
</ol>


문제는 '나빠요'사이트에서 스푸핑코드가 걸려있는 링크를 새탭으로 열기를
했을 경우에만 정보가 빠져나간다는 점입니다....

새창으로 열기를 했을 경우에는 빠져나가지 않습니다.

따라서, 새로운 패치가 나올 때까지는 새창으로 열기를 하든지,
아니면 북마크에서 창을 새로 열기를 하든지 하면,
위와 같은 스푸핑피해는 예방할 수 있습니다.

은행이나 쇼핑몰등의 로그온과 중요정보입력시에는 패치가 나올 당분간
새탭 열기를 삼가하시는 것이 좋을 것 같습니다.

중요정보를 입력할 일이 없을 경우에는 새탭열기에 심취하셔도
괜찮을 것으로 사료됩니다.

[파란사오정]

"나) 탭화면간의 폼필드 포커스 스푸핑 동작 개요"에서요

"부자되세요"은행사이트의 로그인 입력창에 입력시에
키입력이 입력창에 전혀 나타나지 않습니다.
왜냐하면 '나빠요'사이트의 userinput 입력창에서 0.01초마다
키입력을 빼앗아 가거든요....
(설마, 0.01초보다 빠르게 입력을 하시는 분이...)

그래서, 분명히 로그인입력창을 활성화시키고 키입력을 했는데도,
키입력이 입력창에 나타나지 않으면, 키입력이 어디론가
새어나간다고 보시면 됩니다.




....
아...빨리...불여우님과 새데이트를 하고....(Q.Q)
....

앗...화면이 왜 이렇게.....

[litconan]

헌데.. 불여우에서 은행이나 기타 중요한 사이트를 들어갈 리가 없으니... 들어가서 할 수 있는게 아무것도 없잖아요; 우리나라는 크게 상관없지 않을까 하는데요..

[소프트원트]

이 문제에 대한 보안패치는 발표되지않았습니다.

이외에도 [잘못 작성된 HTML코드]에 의한 충돌/종료 현상이 있습니다.

모질라진에서 지난 10월 20일에 발표하였습니다.

http://www.mozillazine.org/talkback.html?article=5404

아래 소프트원트닷컴에서는 이에 대해 오늘 게시를 하였습니다.

http://softwant.com/cgi-bin/kimsboard/b ... view&l=239

현재 종료문제는 10월23일 테스트 버전에서 수정되었습니다. 종료문제 때문에 새로운 버전을 설치할 필요까지는 없을 것같습니다.

[빛알갱이]

탭 브라우징과 관련 있는 보안 문제 중 두번째 문제는 이미 10월 5일경(?)에 고쳐졌습니다. 문제점은 아주 오래 전에 보고되었고요. (https://bugzilla.mozilla.org/show_bug.cgi?id=124750) 하지만, 아직 이 패치가 들어간 릴리즈는 안 된 것으로 알고 있습니다.

malformed html 때문에 모질라가 죽는 버그는 어느 버그에서 고쳤나요? 그 죽는 원인이 굉장히 다양할 수 있어서 고치기가 쉽지 않을 것 같거든요.

이 문제에 대해 Doron Rosenberg가 쓴 글은 파이어폭스 마케팅에 대해 몇 가지 생각할 점을 던져 주고 있습니다. 거기서 Boris Zabarsky가 언급한 대로 firefox '독재자'들이 review도 거치지 않고 넣은 front-end code (심지어 어떤 back-end code)는 어떤 문제가 있을지 아무도 모릅니다. 보안 상 문제는 아닐지 몰라도 기능상 (예를 들어, FindAsYouType이 IME와 같이 쓸 경우 작동을 하지 않는다든지) 문제가 있을 수 있습니다. (FAYT 같은 경우는 제대로 review를 거쳤다면 국제화 팀에서 check-in하지 못 하게 막았을텐데 .....)

http://weblogs.mozillazine.org/doron/ar ... 06734.html