KVE 발급 후기

잠깐 취업을 생각하며, 테스트로 그누보드5 블랙박스 & 화이트박스테스트를 한적이 있었다.

대상 버전은 최신버전이 아닌 구 버전.

 

점검 시간도 부족하였기에, 화이트박스 테스트를 하는건 무리라고 판단하여, 블랙박스 테스트를 진행하였다.

 

오픈소스여서 그런지 취약점도  없었지만, 뭐라도 내야 할것 같아서 무작정 점검하다가 쇼핑몰 사이트에서 답글 기능에 취약점이 있는걸 발견했다.

 

발견위치는 상품문의 페이지였는데, 상품 문의에 관리자의 답글 이후에는 정상적인 경로로는 수정이 불가능하다.

근데 이것저것 만지다가 보니 우회하여 수정이 가능하여 해당 내용을 최신버전에서도 테스트 해봤는데, 유효했다.

 

위 내용을 기반으로 KISA에 취약점을 보고하고 KVE 번호를 발급받았다.

 

https://github.com/gnuboard/gnuboard5/commit/a0eb804918d050cf8cdbfeb51b9b0fa310c5aab0

[KVE-2024-0023] 답변이 달린 상품문의글 수정가능 취약점 수정 · gnuboard/gnuboard5@a0eb804

사실 2개를 더 제보했는데, 영향도에 따라 KVE 발급은 하지않았다. (근데 수정은 또 하시던데.....)

 

KVE 발급을 목표로 하지는 않았는데, 하나쯤은 있어도 괜찮은것 같다.

 

다음 목표는 CVE 발급과 네이버 버그바운티 명예의전당으로 잡아야겠다. (일단 여유가 생기면...)