2007. 12. 3.
첨부파일을 다시 업로드 하였습니다.
그리고 예전에 드림위즈와 제로보드4의 검색기능 연동하는 부분을 추가한 개발코드가 잘못 삽입되어서 이 부분 삭제하였습니다.
미리 확인하지 못하고 보안버그때문에 급히 업로드하느라 실수를 하였던 부분 죄송하다는 말씀드립니다.

기존 제로보드 4.1 pl7에서 보안버그를 수정하였습니다.

기존에 4.1 pl7을 사용중이신 분들은 아래 파일들만 따로 뽑아서 덮어씌우시면 됩니다.

=== 버그 수정 파일 목록 =========
      image_box.php
      member_join_ok.php
      member_modify_ok.php
      login_check.php
      lib.php
      member_memo.php
      member_memo2.php
      member_modify_ok.php
      license.txt
===============================

수정된 버그 내용은 다음과 같습니다.

- 이미지 파일 업로드 하는 부분에서 확장자(gif/jpg)를 무시하고 임의의 스크립트 파일을 올릴 수 있던 버그 수정
- sql injection 취약성 제거
- XSS(크로스 사이트 스크립팅) 취약성 제거

입니다.

ps. 관련 내용을 알려주신 한국정보보호진흥원(KISA) 해킹대응팀 및 취약점 보고해주신 분께 감사의 말씀을 드립니다.
     - 이미지 파일 업로드 취약점 - 김진홍씨
     - SQL Injection 취약점 - 함지만씨, 최민성씨
     - XSS 취약점((iframe 취약점) - 유동훈씨

* .htaccess 파일 업로드로 인한 보안 버그 수정 (2006. 12. 3)
* download.php 파일의 보안 버그 수정 (2007. 3. 13)
* download.php 보안버그 수정 파일의 잘못된 띄워쓰기로 인한 다운로드 오류 수정 (2007. 5. 9)
* sql injection 방지를 위한 lib.php에서 $s_que, $desc, $select_arrange 변수의 초기화 (2007. 5. 9)
* lib.php파일에 REMOTE_ADDR변수를 이용한 원결코드 실행 취약점 수정 (2007. 11. 1)
* 2007. 11. 1일자 패치를 우회할수 있는 방법을 패스코리아넷의 빈경윤님께서 알려주셔서 패치하였습니다. (2007. 11. 7)
이 게시물을..