수 천개의 프로젝트에 영향을 미치는 ‘Zip Slip’ 취약점 발견

'Zip Slip' Vulnerability Affects Thousands of Projects Across Many Ecosystems

보안 연구원들이 수 천개의 프로젝트들에 영향을 미치는 치명적인 취약점과 관련 된 자세한 정보를 공개했습니다. 공격자가 이 취약점을 악용할 경우, 타겟 시스템에서 코드를 실행할 수 있는 것으로 나타났습니다.

“Zip Slip”이라 명명 된 이 문제는 압축 파일의 압축을 해제할 때 디렉토리 탐색(Directory traversal) 공격을 통해 촉발 되는 임의 파일 덮어쓰기 취약점이며 tar, jar, war, cpio, apk, rar, 7z를 포함한 많은 압축 포맷에 영향을 미칩니다.

JavaScript, Ruby, Java, .NET, Go 등의 다양한 프로그래밍 언어로 작성 된 Google, Oracle, IBM, Apache, Amazon, Spring/Pivotal, Linkedin, Twitter, Alibaba, Eclipse, OWASP, ElasticSearch, JetBrains 등의 수 천 개의 프로젝트가 취약한 코드 및 라이브러리를 포함하고 있는 것으로 나타났습니다.

이 취약점은 수년 동안 탐지 되지 않았으며, 디렉토리 탐색이 가능한 파일명을 사용하는 특별히 제작 된 압축 파일을 사용함으로써 악용될 수 있습니다. 취약한 코드나 라이브러리를 통해 압축이 해제 될 경우 공격자들이 지정 된 폴더의 외부에 악성 파일을 추출해낼 수 있게 됩니다.

공격자는 Zip Slip 공격을 통해 타겟 시스템이나 사용자가 실행하도록 속이기 위해 프로그램의 정식 실행파일이나 구성 파일도 덮어쓰기 할 수 있게 됩니다. “따라서 피해자의 기기에서 원격으로 명령을 실행할 수 있게 됩니다”.

“이 취약점은 구성 파일이나 다른 민감한 리소스를 덮어쓰기 함으로써 데미지를 입힐 수 있습니다. 또한 클라이언트 머신 및 서버 모두에서 악용될 수 있습니다.”

“zip 파일의 컨텐츠는 수작업으로 만들어져야 합니다. Zip은 사용자들이 이러한 경로의 파일을 추가하도록 허용하지만, 아카이브 생성 툴은 일반적으로 허용하지 않습니다. 하지만 특정 툴을 이용하면 이러한 경로를 포함한 파일을 생성하는 것은 매우 쉽습니다.”라고 연구원들이 밝혔습니다.

또한 연구원들은 Zip Slip 아카이브의 PoC 및 공격자가 어떻게 Zip Slip 취약점을 악용하는지 보여주는 영상을 공개했습니다.

4월 이후, 연구원들은 모든 취약한 라이브러리 및 프로젝트의 관리자들에게 개인적으로 Zip Slip 취약점을 공개하기 시작했습니다.

영향을 받는 모든 라이브러리 및 프로젝트의 목록은 Snyk의 GitHub 저장소에서 확인할 수 있습니다. 이들 중 일부는 이미 업데이트 된 버전을 공개해 문제를 수정했습니다.

참고 : 

https://thehackernews.com/2018/06/zipslip-vulnerability.html

https://snyk.io/research/zip-slip-vulnerability