페이팔, 사용자 지갑의 환율 계산기의 XSS 취약점 수정

 

 

PayPal addresses reflected XSS bug in user wallet currency converter

 

페이팔이 약 1년 전인 2020년 2월 19일 사용자 지갑의 환율 계산기 기능에서 발견된 교차 사이트 스크립팅(XSS) 취약점을 수정했습니다.

 

이 ‘반사(reflected) XSS와 CPS 우회’ 취약점은 버그 바운티 사냥꾼인 “Cr33pb0y”가 발견해 HackerOne 플랫폼을 통해 신고했습니다.

 

PayPal은 이에 대해 아래와 같이 밝혔습니다.

 

“통화 변환을 위해 사용된 한 엔드포인트에서 반사(reflected) XSS 취약점이 발견되었습니다. 이 취약점은 사용자 입력이 파라미터에서 적절히 삭제되지 않아 발생합니다. 이로써 악성 사용자가 악성 JavaScript, HTML 및 브라우저가 실행할 수 있는 기타 코드 유형을 주입할 수 있게 됩니다.”

 

“이 악성 스크립트는 사용자에게 알리거나 동의를 받지 않고 브라우저 페이지 DOM(Document Object Model)에서 실행될 수 있습니다.”

 

페이팔은 응답으로 반환되기 전 환율 계산기 기능의 사용자 입력에 대한 추가 유효성 검사 및 검사 제어를 구현했습니다.

 

페이팔에 따르면, 해당 취약점은 통화 변환 엔드포인트에 존재했으며 URL의 파라미터 내 입력을 제대로 삭제하지 못했기 때문에 발생합니다.

 

공격자는 이 취약점을 악용하여 브라우저 내에서 실행될 악성코드 (JavaScript, HTML, 기타 언어)를 삽입할 수 있습니다.

 

이는 악성 스크립트가 사용자가 모르는 사이 동의 없이 다른 사용자의 브라우저 페이지 DOM 내에서 실행된다는 이야기입니다.

 

실제 공격 시나리오에서 공격자는 피해자가 특수 제작한 링크를 클릭하도록 속여 해당 취약점을 촉발시킬 수 있습니다.

 

또한 쿠키 및 세션 토큰을 훔치는 등 여러 악성 행위를 실행하기 위해 악성 페이로드를 실행할 수 있습니다.

 

Cr33pb0y는 버그 바운티 프로그램을 통해 $2,900의 보상을 받았습니다.

 

 

 

 

 

출처:

https://securityaffairs.co/wordpress/114570/hacking/paypal-reflected-xss-wallet.html

https://hackerone.com/reports/799881