 작성자 |
관리자 |
작성일 |
2009-12-24 |
조회수 |
2,249 |
| 제 목 |
[공지] [긴급] 웹호스팅 보안강화를 위한 조치 안내
|
| 내 용 |
안녕하세요, LG데이콤 호스팅 운영담당자입니다.
최근들어 계속하여 웹취약점 및 FTP를 통한 파일 변조가 자주 발생되고 있습니다.
이에 따라, 아래와 같이 보안강화를 위해 공지를 드립니다.
1. 제로보드4 보안 취약점 패치 안내
○ 취약점 안내
- 내용 : _zb_path, dir 변수에 대해 웹쉘 없이 직접 서버내 파일을 실행 할 수 있는 취약점 발생보고 : 한국 인터넷 진흥원 (http://www.kisa.or.kr)
- 대상 : 제로보드4 모든 버전
- 비고 : php5.2 이상에서만 발생하는 취약점과 php 버전 상관없이 발생하는 취약점
○ 대상 파일
_head.php
skin/zero_vote/ask_password.php
skin/zero_vote/error.php
skin/zero_vote/login.php
skin/zero_vote/setup.php
○ 수정 내용
_head.php
[수정전]
if(eregi(":\/\/",$_zb_path)||eregi("\.\.",$_zb_path)) $_zb_path ="./";
[수정후]
if(eregi(":\/\/",$_zb_path)||eregi("\.\.",$_zb_path)||eregi("^\/",$_zb_path)||eregi("data:;",$_zb_path)) $_zb_path ="./";
skin/zero_vote/ 파일들
[수정전]
if(eregi(":\/\/",$dir)||eregi("\.\.",$dir)) $dir ="./";
[수정후]
if(eregi(":\/\/",$dir)||eregi("\.\.",$dir)||eregi("^\/",$dir)||eregi("data:;",$dir)) $dir ="./";
이 취약점은 매우 위험한 취약점으로 반드시 패치를 해주시기 바랍니다.
향후 미 패치 고객은 강제 패치할 예정입니다.
다만, 패치이후 아래와 같이 'zb_path' 경로를 절대경로로 사용하시는 고객님께서 홈페이지가 제대로 뜨지 않을수 있습니다.
패치전 : $_zb_path ="/home/고객홈폴더/wwwhome/bbs/"
패치후 : $_zb_path ="./"
정상적으로 작동하지 않을 경우 패치후 경로를 절대경로로 변경해 주시기 바랍니다.
2. GCC 컴파일러 사용 제한
GCC의 경우 C 컴파일러로서 대부분의 호스팅 사용자들에게는 필요하지 않을 것으로 판단되며, 이에따라 그동안 인증서버에서만 제한하던 것을 웹호스팅 전체 서버로 확대 제한합니다.
GCC 사용 하고자 하는 고객님께서는 별도의 시간을 정하여 고객센터 또는 일대일 게시판을 통하여 허용 요청을 해주시기 바랍니다.
- 고객명 :
- 도메인 :
- 사용시간 :
3. FTP 해외망 차단 예정
지난 2009년 8월 6일, 9월 28일 두차례에 걸쳐서, FTP 암호 변경 및 자동 로그인 해제에 관한 공지를 요청 드렸으나, 아직도 FTP를 통한 변조 사고가 계속 해서 발생하고 있습니다.
LG 데이콤 호스팅에서는 여러 방법을 통해 웹사이트 위변조를 막아오고 있었으나, 위변조를 시도하는 IP대역의 99% 이상이 해외망으로 확인되어, 국내IP 대역을 제외한 모든 해외망의 FTP(TCP 21) 접속을 제한할 예정에 있습니다.
이에 따라, 해외에서 FTP를 사용하시는 고객님께서는 아래의 접속 주소를 통하여 고객님 아이피를 확인하신후, 고객 선터 또는 일대일 게시판을 통해 남겨주시기 바랍니다.
- 차단 일시 : 2009년 12월 29일
(1) ip.limcs.net 접속 후 IP 확인
(2) findip.kr 접속 후 IP 확인
- 고객명 :
- 도메인 :
- 사용 IP :
언제나 LG데이콤 호스팅을 아껴주시는 고객님께 감사드리며,
항상 최선을 다하는 LG데이콤 호스팅이 되도록 더욱 노력하겠습니다.
감사합니다.
|
|
가입하신 서비스로 로그인하세요
