지란지교소프트 제품 보안 조치 권고
이 권고가 다루는 취약점
권고 본문에서 CVE 번호를 추출해 우리 원장과 맞춘 것입니다. KISA 가 제공하는 매핑이 아닙니다.
CVE 번호가 본문에 없습니다가이드·동향 보고서에는 CVE 번호가 없는 경우가 많습니다.
권고 본문 (발췌)
원문을 그대로 옮긴 발췌이며 요약·해석하지 않았습니다.
□ 개요 o 지란지교소프트社는 자사 제품에서 발견된 보안 취약점에 대한 조치 방법 발표 [1] o 해당 제품을 사용 중인 사용자는 제조사 권고에 따라 샘플파일 삭제 등 보안 조치 권고 □ 설명 o CrossUploader에서 발생하는 부적절한 파일 업로드 취약점 [1] □ 영향을 받는 제품 및 조치 방안 제조사 제품명 영향받는 버전 조치 방안 지란지교소프트 CrossUploader 1.0.00 이상 3.0.09 이하 샘플파일(UploadProcess.jsp) 삭제 및 보안 설정 □ 보안 조치 방법 1. 운영 환경에서 아래 샘플 폴더가 존재하는 경우 삭제 권고 [1] - /NamoCrossUploaderH5Samples - /NamoCrossUploaderJaSamples 2. 기본 설치 경로 외 다른 경로에도 UploadProcess.jsp 파일이 존재하는지 확인 후 불필요한 파일 삭제 권고 3. 웹 접근 로그에서 해당 파일의 호출 이력을 확인하고, 업로드 경로에 JSP 등 비정상적인 스크립트 파일이 생성되었는지 점검 권고 4. 해당 샘플파일을 실제 서비스에 사용하는 경우 아래 보안 조치 적용 권고 - 업무상 필요한 파일 확장자만 업로드 허용 - 업로드 요청에 대한 사용자 인증 및 접근 권한 검증 - 서버 측 파일 확장자, 내용 및 파일명 검증 - 웹에서 직접 접근할 수 없는 경로에 업로드 파일 저장 - 업로드 폴더에서 JSP 등 서버 측 스크립트 실행 차단 ※ 샘플 폴더는 기능 테스트용으로, 실제 서비스에 사용하지 않는 경우 삭제하더라도 제품의 정상 동작에는 영향 없음 ※ 해당 샘플파일을 실제 서비스에서 사용 중인 경우 삭제 전 서비스 영향 여부를 확인하고 조치 필요 ※ 별도 보안 업데이트 버전은 안내되지 않았으며, 제조사에서 권고한 샘플파일 제거 및 보안 조치 수행 필요 □ 참고사이트 [1] https://jiran.tistory.com/1752 □ 문의사항 o 지란지교소프트 기술지원 : 031-608-4100 o 지란지교소프트 이메일 : crosseditor@namoeditor.co.kr o 한국인터넷진흥원 사이버민원센터 : 국번없이 118 □ 작성 : 디지털위협대응본부 취약점관리센터 페이스북 트위터 네이버밴드 카카오톡 네이버 링크복사 --> 724 --> 공유하기 닫기 페이스북 트위터 네이버밴드 카카오톡 네이버 링크복사 확인 --> 이전 글 WordPress 제품 보안 업데이트 권고 다음 글 Linux 제품 보안 업데이트 권고 목록으로 개인정보처리방침 FAQ 해킹·스팸·개인정보침해 상담은 118 RFC 2350 KISA 대국민서비스 바로가기 열기 KISA 대국민서비스 사이버 위협정보 분석·공유(C-TAS) 보안 취약점 정보 포털 지역정보보호지원센터 ISMS-P KISA 아카데미 발신번호 거짓표시 신고 암호이용활성화 개인정보침해 신고센터 불법스팸대응센터 인터넷주소등록정보 검색시스템 개인정보 포털 털린 내 정보 찾기 서비스 가명정보 지원 플랫폼 인터넷주소자원시스템 ICT분쟁조정지원센터 전자문서 통합지원센터 주요사이트 바로가기 닫기 카카오톡 유튜브 페이스북 KISA 인터넷 보호나라&KrCERT 나주본원) 58324 전남광주통합특별시 나주시 진흥길 9 한국인터넷진흥원 서울청사) 05717 서울특별시 송파구 중대로 135 (가락동) IT벤처타워 대표번호 : 1433-25 (수신자 요금 부담) [해킹ㆍ스팸·개인정보침해 상담 118]— KISA 보호나라 원문