[중요] 크로스에디터, 크로스업로더 보안 이슈 대응 안내 (PHP, Node.JS 취약점 외)

 

안녕하세요. (주)지란지교소프트 나모에디터사업부입니다. 

최근 발표된 주요 보안 취약점에 대한 당사 제품의 영향도 검토 결과와 고객사 조치 사항을 안내 드립니다. 운영 중인 제품 및 서버 환경을 확인하시어 필요한 보안 조치를 적용해 주시기 바랍니다.

※ 하기 안내에 대한 추가 문의는 제품번호와 함께 전담부서에 부탁드립니다.

• 제품번호 확인 : 에디터 실행 후 Ctrl + Shift + A 버튼 입력, 제품정보 - 숫자 14자리 확인 (9504-0000-000000)
• 전담부서 : 크로스에디터 기술지원팀 (crosseditor@jiran.com, T.031-608-4100)
  
  

1. 나모 크로스업로더(CrossUploader) 보안 취약점 조치 안내

나모 크로스업로더의 UploadProcess.jsp 샘플 파일에서 보안 취약점이 확인되어 다음과 같이 조치를 권고 드립니다.

• 영향 버전: 1.0.00 ~ 3.0.09
• 대상 파일: UploadProcess.jsp

 

[권고 조치 사항]

① 샘플 폴더 삭제

운영 환경에 아래 샘플 폴더가 존재하는 경우 전체 삭제해 주시기 바랍니다.

해당 폴더는 기능 테스트용으로, 삭제하더라도 제품의 정상 동작에는 영향을 주지 않습니다.

• /NamoCrossUploaderH5Samples
• /NamoCrossUploaderJaSamples

② 추가 확인 및 점검

• UploadProcess.jsp 파일이 다른 경로에도 배포되어 있는지 확인 후 불필요한 파일 삭제
• 웹 접근 로그에서 해당 파일의 호출 이력 확인
• 업로드 경로에 JSP 등 비정상적인 스크립트 파일이 생성되었는지 점검

③ 실제 운영 환경에서 사용 중인 경우

해당 샘플 파일을 실제 서비스에 사용 중인 경우,

삭제 전 사용 여부를 확인하고 다음 보안 조치를 적용해 주시기 바랍니다.

• 파일 확장자 제한: 업무상 필요한 확장자만 허용(Whitelist) - 참고: setFileFilters API 안내 (https://comp.namoeditor.co.kr/demo/cu/help/ko/dev/api/FileUpload/Methods/setFileFilters.html 주소로 링크)
• 접근 권한 검사: 업로드 요청에 대한 사용자 인증 및 권한 확인
• 서버 측 파일 검증: 파일 확장자, 내용 및 파일명 검증
• 파일 저장 경로: 웹에서 직접 접근할 수 없는 안전한 경로 사용
• 스크립트 실행 차단: 업로드 폴더에서 JSP 등 서버 측 스크립트 실행 제한

크로스업로더에서 제공하는 파일 검증 기능과 별개로, 사용자 인증, 서버 측 업로드 검증 및 저장 경로 보안 설정은 고객사 운영 환경에서 적용해 주셔야 합니다.

2. PHP 보안 취약점(PHP2Shell) 관련 안내

PHP 원격 코드 실행 취약점과 관련하여 CrossEditor의 라이선스 인증 처리 방식을 확인한 결과는 다음과 같습니다.

• 내부 인증: EditorAuth에 선언된 CELicenseCheck.php 주소는 실제 호출되지 않습니다.
• 외부 인증: 인증 서버의 응답 값을 비교하여 처리하며, 응답 내용을 실행하는 코드는 사용하지 않습니다.

따라서 확인된 라이선스 인증 처리 과정에서는 해당 취약점을 통한 고객사 서버의 직접적인 공격 경로가 확인되지 않았습니다.
단, 고객사에서 별도로 PHP 실행 환경을 운영하는 경우에는 해당 서버의 보안 패치 여부를 확인해 주시기 바랍니다.

3. Brotli 보안 취약점(Node2Shell) 관련 안내

Brotli 압축 해제 라이브러리 취약점(CVE-2026-111497)과 관련하여 안내 드립니다.

CrossEditor는 서버 페이지가 포함되지 않은 JavaScript 기반 Script 버전으로 제공되며, 제품 구동을 위해 Node.js 서버를 필수로 사용하지 않습니다.
따라서 기본 Script 구성에서는 Node.js 런타임 취약점과 직접적인 연관성이 낮습니다.

단, 고객사에서 별도의 Node.js 서버 또는 Brotli 압축 해제 기능을 사용하는 경우에는 해당 환경의 영향 여부를 확인하고 보안 업데이트를 적용해 주시기 바랍니다.

4. Oracle Java 및 GraalVM 보안 업데이트 권고

Oracle Java 및 GraalVM의 보안 취약점이 공개됨에 따라 운영 환경에 대한 보안 업데이트를 권고 드립니다.

 

해당 취약점은 Java 실행 환경의 보안 구성 요소와 관련된 사항으로, 에디터 제품 자체의 패치와 별개로 고객사 서버의 Java 실행 환경에 대한 점검 및 업데이트가 필요합니다.

 

사용 중인 Java 및 GraalVM 버전을 확인하시고, 해당 버전에 적용되는 보안 패치를 설치해 주시기 바랍니다.