상세 컨텐츠

본문 제목

페이팔, 사용자 지갑의 환율 계산기의 XSS 취약점 수정

국내외 보안동향

by 알약4 2021. 2. 15. 14:00

본문

 

 

PayPal addresses reflected XSS bug in user wallet currency converter

 

페이팔이 약 1년 전인 2020219일 사용자 지갑의 환율 계산기 기능에서 발견된 교차 사이트 스크립팅(XSS) 취약점을 수정했습니다.

 

‘반사(reflected) XSSCPS 우회취약점은 버그 바운티 사냥꾼인 “Cr33pb0y”가 발견해 HackerOne 플랫폼을 통해 신고했습니다.

 

PayPal은 이에 대해 아래와 같이 밝혔습니다.

 

통화 변환을 위해 사용된 한 엔드포인트에서 반사(reflected) XSS 취약점이 발견되었습니다. 이 취약점은 사용자 입력이 파라미터에서 적절히 삭제되지 않아 발생합니다. 이로써 악성 사용자가 악성 JavaScript, HTML 및 브라우저가 실행할 수 있는 기타 코드 유형을 주입할 수 있게 됩니다.”

 

이 악성 스크립트는 사용자에게 알리거나 동의를 받지 않고 브라우저 페이지 DOM(Document Object Model)에서 실행될 수 있습니다.”

 

페이팔은 응답으로 반환되기 전 환율 계산기 기능의 사용자 입력에 대한 추가 유효성 검사 및 검사 제어를 구현했습니다.

 

페이팔에 따르면, 해당 취약점은 통화 변환 엔드포인트에 존재했으며 URL의 파라미터 내 입력을 제대로 삭제하지 못했기 때문에 발생합니다.

 

공격자는 이 취약점을 악용하여 브라우저 내에서 실행될 악성코드 (JavaScript, HTML, 기타 언어)를 삽입할 수 있습니다.

 

이는 악성 스크립트가 사용자가 모르는 사이 동의 없이 다른 사용자의 브라우저 페이지 DOM 내에서 실행된다는 이야기입니다.

 

실제 공격 시나리오에서 공격자는 피해자가 특수 제작한 링크를 클릭하도록 속여 해당 취약점을 촉발시킬 수 있습니다.

 

또한 쿠키 및 세션 토큰을 훔치는 등 여러 악성 행위를 실행하기 위해 악성 페이로드를 실행할 수 있습니다.

 

Cr33pb0y는 버그 바운티 프로그램을 통해 $2,900의 보상을 받았습니다.

 

 

 

 

 

출처:

https://securityaffairs.co/wordpress/114570/hacking/paypal-reflected-xss-wallet.html

https://hackerone.com/reports/799881

관련글 더보기

댓글 영역