SW 개발단계부터 보안약점 제거(시큐어코딩) 의무화
SW 개발단계부터 보안약점 제거(시큐어코딩) 의무화<br>소프트웨어 보안약점(43개)<br>1. 입력데이터 검증 및 표현 : 프로그램 입력값에 대한 검증 누락 또는 부적절한 검증, 데이터의 잘못된 형식지정으로 인해 발생할 수 있는 보안약점 <table><tbody><tr><td>번호</td><td>보안약점</td><td>설명</td></tr><tr><td>1</td><td>SQL 삽입</td><td>사용자의 입력값 등 외부 입력값이 SQL 쿼리에 삽입되어 공격자가 쿼리를 조작해 공격할 수 있는 보안약점</td></tr><tr><td>2</td><td>자원 삽입</td><td>외부 입력값에 대한 검증이 없거나 혹은 잘못된 검증을 거쳐서 시스템 자원에 접근하는 경로 등의 정보로 이용될 때 발생하는 보안약점</td></tr><tr><td>3</td><td>크로스사이트스크립트</td><td>검증되지 않은 외부 입력값에 의해 브라우저에서 악의적인 코드가 실행되는 보안약점</td></tr><tr><td>4</td><td>운영체제 명령어 삽입</td><td>운영체제 명령어를 구성하는 외부 입력값이 적절한 필터링을 거치지 않고 쓰여져서 공격자가 운영체제 명령어를 조작할 수 있는 보안약점</td></tr><tr><td>5</td><td>위험한 형식 파일 업로드</td><td>파일의 확장자 등 파일형식에 대한 검증없이 업로드를 허용하여 발생하는 보안약점</td></tr><tr><td>6</td><td>신뢰되지 않는 URL 주소로 자동 접속 연결</td><td>사용자의 입력값 등 외부 입력값이 링크 표현에 사용되고, 이 링크를 이용하여 악의적인 사이트로 리다이렉트(redirect)되는 보안약점</td></tr><tr><td>7</td><td>XQuery 삽입</td><td>사용자의 입력값 등 외부 입력값이 XQuery 표현에 삽입되어 악의적인 쿼리가 실행되는 보안약점</td></tr><tr><td>8</td><td>XPath 삽입</td><td>사용자의 입력값 등 외부 입력값이 XPath 표현에 삽입되어 악의적인 쿼리가 실행되는 보안약점</td></tr><tr><td>9</td><td>LDAP 삽입</td><td>검증되지 않은 입력값을 사용해서 동적으로 생성된 LDAP문에 의해 악의적인 LDAP 명령이 실행되는 보안약점</td></tr><tr><td>10</td><td>크로스사이트 요청 위조</td><td>검증되지 않은 외부 입력값에 의해 브라우저에서 악의적인 코드가 실행되어 공격자가 원하는 요청(Request)이 다른 사용자(관리자 등)의 권한으로 서버로 전송되는 보안약점</td></tr><tr><td>11</td><td>디렉토리 경로 조작</td><td>지정된 경로 밖의 파일시스템 경로에 접근하게 되는 보안약점</td></tr><tr><td>12</td><td>HTTP 응답분할</td><td>사용자의 입력값 등 외부 입력값이 HTTP 응답헤더에 삽입되어 악의적인 코드가 실행되는 보안약점</td></tr><tr><td>13</td><td>정수 오버플로우</td><td>정수를 사용한 연산의 결과가 정수값의 범위를 넘어서는 경우 프로그램이 예기치 않은 동작될 수 있는 보안약점</td></tr><tr><td>14</td><td>보호메커니즘을 우회할 수 있는 입력값 변조</td><td>사용자에 의해 변경될 수 있는 값을 사용하여 보안결정(인증/인가/권한부여 등)을 수행하여 보안 메커니즘이 우회될 수 있는 보안약점</td></tr></tbody></table>
소프트웨어 보안약점 중 증명되지 않은 외부 입력값에 의해 브라우저에서 악의적인 코드가 실행되는 건 뭐지