Meetup, 그룹 탈취를 허용하는 보안 취약점 수정

Meetup fixes security flaws which could have allowed hackers to take over groups

인기 있는 온라인 미팅 서비스 및 이벤트 웹사이트인 Meetup에서 사이버 공격자가 회원 수백만 명의 프로필에 접근할 수 있었던 보안 취약점이 있었던 것으로 나타났습니다.

보안 회사인 Chechmarx의 연구원들은 해당 사이트 내 XSS와 CSRF 취약점을 조합하여 관리자 권한을 얻어 이벤트를 취소하거나 변경하는 것뿐만 아니라 사용자의 정보를 얻거나 페이팔 지불 페이지로 이동시키는 등 사기 행위까지 가능했던 것으로 나타났습니다.

연구원들은 모든 이벤트에 기본으로 활성화되어 있는 Meetup 페이지의 토론 섹션 내 게시물에 악성 스크립트를 주입하는 것도 가능했다고 밝혔습니다.

이 스크립트는 사용자에게 숨겨져 있지만, CSRF 공격과 결합하여 이를 활용할 수 있습니다. 

공격자는 이를 악용하여 그룹의 제어권을 얻기 위해 무단으로 명령어를 실행할 수 있습니다.

Checkmarx의 보안 연구 책임자인 Erez Yalon은 아래와 같이 밝혔습니다.

“해커가 이 취약점을 모두 가지고 있을 경우, 주최자의 페이지가 브라우저에서 스크립트를 실행하기 때문에 관리자 역할을 악용하여 원하는 모든 작업을 수행할 수 있습니다.”

공격자가 개별 MeetUp 그룹 수준에서 이 취약점을 악용할 경우 페이지를 제어하고, 개인정보를 열람하고, 자금 옮길 수 있어 피해자들이 불편을 겪을 수 있었습니다.

하지만 연구원들은 이 취약점을 통해 웜을 확산시킬 수 있었다는 것을 발견했습니다. 

이 취약점이 실제 공격에 악용될 경우 해커가 사이트 전체를 해킹해 그룹을 제어하고 자금을 전환할 수 있었다는 것입니다.

“일부 그룹만 감염시키더라도 이 그룹이 다른 그룹으로 웜을 전파하는 에이전트가 됩니다.”

“주최자가 감염될 경우, 그들의 페이팔 계정으로 자금을 이동시킬 수 있습니다. 단 1~2일 만에 모든 Meetup의 모든 그룹을 감염시킬 수 있어 플랫폼 내 대규모 공격이 발생할 수 있었습니다.”

Meetup은 취약점을 발견한 후 올해 초 이를 수정했습니다. 

Meetup은 Checkmarx 측에 “Meetup은 데이터 보안에 대한 제보를 매우 중요하게 생각하고, 조사를 위해 이를 제보하고 후속 조치를 도와준 Checkmarx에 감사드린다”라고 밝혔습니다.

이 취약점이 발생한 이유는 토론 페이지에 스크립트를 추가하는 기능 때문이었습니다. 

하지만 허용 리스트를 사용할 경우 문제를 막을 수 있었습니다. 페이지에 어떤 명령어를 허용할지 지정할 경우 이상한 코드나 명령어는 입력할 수 없습니다.

거부 목록을 사용할 경우 모든 잠재적 명령을 포함해야 하기 때문에 허용 목록을 사용하는 것이 낫습니다. 

공격자들은 언제나 개발자가 생각해 내지 못한 새로운 방법을 찾아내려 시도하기 때문입니다.

출처:

https://www.zdnet.com/article/meetup-fixes-security-flaws-which-could-have-allowed-hackers-to-take-over-groups/