아동 관리 및 보호 앱 Canopy에서 XSS 취약점 발견돼

 

 

Canopy Parental Control App Wide Open to Unpatched XSS Bugs


온라인에서 어린이를 보호하기 위한 다양한 기능을 제공하는 자녀 보호 앱인 Canopy에서 취약점이 발견되었습니다. 

Canopy는 자녀가 사용하는 응용 프로그램 및 웹사이트에서 음란 채팅 방지, 이미지 필터링을 통한 기기 내 사진 보호, 스크린 타임 모니터링, 부모를 위한 자녀 통신 알림, 부적절한 웹사이트를 제거하기 위한 스마트 콘텐츠 필터링, 부모를 위한 원격 기기 관리 및 제어 기능을 제공합니다. 

 

XSS 공격에 취약한 Canopy

 

Canopy는 다양한 XSS 공격에 취약한 것으로 나타났습니다. XSS 공격은 악성 스크립트가 그렇지 않은 경우 신뢰할 수 있는 웹 사이트에 주입될 때 발생합니다. 

이러한 주입은 일반적으로 웹 응답 또는 주석 필드에 악성 코드를 입력하고 Enter 키를 눌러 수행되며, 여기서 페이로드가 웹 서버로 전송됩니다. 

일반적으로 이러한 응답은 서버 측에서 검증되어 악성 스크립트가 차단됩니다. 그러나 Canopy의 경우 이러한 점검이 여러 영역에서 부족한 것으로 나타났습니다. 

공격자는 부모들을 위한 포털에 자바스크립트를 삽입하여 부모 사용자가 할 수 있는 모든 기능을 실행할 수 있습니다. 

해당 취약점을 악용할 경우 어린이 사용자는 감시를 비활성화할 수 있으며 악의적인 공격자가 부모 사용자에게 악성코드를 전달할 수도 있습니다.

 

제3자의 공격으로 이어질 수 있어

해당 취약점은 사용자가 입력하는 값을 제대로 거르지 않아서 발생합니다. 

Canopy는 인공 지능 엔진 및 VPN 필터링과 더불어 적절한 수의 장치 권한을 사용합니다. 설치 과정에는 접근성 지원, 루트 CA 설치, VPN 구성을 포함한 광범위한 권한 승인이 포함됩니다. 

앱은 또한 선택적으로 앱 제거를 방지하기 위해 장치 관리자 역할을 할 수 있습니다. 취약점을 발견한 Tripwire의 보안 연구원 Craig Young은 취약점을 익스플로잇 하는 방법을 익힌 아이들이 있을 것이며 해킹에 대한 지식이 조금만 있어도 해당 취약점을 악용할 수 있다고 밝혔습니다. 

그는 공격에는 조작된 URL이 차단되기 때문에 완전히 외부의 제3자 소스에서 공격이 올 수 있다고 지적했습니다. 공격자는 자녀의 휴대폰에 설치된 자녀 보호 앱 자체에 대한 액세스를 가로채고 계정의 보호된 장치에서 GPS 좌표를 가져올 수도 있습니다.

 

취약점에 대한 패치 아직까지 없어

Young은 전화와 이메일로 반복적으로 Canopy에 연락했지만 응답하지 않아 문제를 공개하게 되었다고 밝혔습니다. 그는 개발자가 발표한 유일한 수정 사항은 자녀 사용자의 공격을 방지하는 것이라고 덧붙였습니다. 

그는 공급업체와 반복적으로 작업을 시도한 후 다른 사람들이 조치를 취할 수 있도록 보고서를 게시했습니다.

 

출처:
https://threatpost.com/canopy-parental-control-app-unpatched-xss-bugs/175384/