Duplicator 플러그인, 원격 코드 실행(RCE) 취약점 패치
Duplicator는 워드프레스 사이트를 이전할 때 사용되는 무료 마이그레이션 툴입니다. 이 플러그인을 사용하면 수월하게 워드프레스를 이전할 수 있어 현재 100만 개 이상 사이트에 설치되어 활성화되어 있을 정도로 인기가 있습니다.
최신 버전의 Duplicator에서 심각한 원격 코드 실행(Remote Code Execution: RCE) 취약점이 수정되었습니다.
Duplicator 플러그인의 보안 취약점
이 취약점에서 주목할 만한 점은 플러그인 폴더 자체 내에는 취약한 코드가 존재하지 않습니다. Duplicator를 사용하여 워드프레스 사이트 백업본을 이전 또는 복원할 때 취약점이 노출됩니다.
사이트를 백업하면 압축된 zip 파일 하나와 압축 파일을 풀어서 구성하는 스크립트 파일인 installer.php 등 두 개의 파일이 생성되며, 이 두 파일이 있어야 사이트 콘텐츠를 복원할 수 있습니다.
이 두 파일을 이전하고자 하는 새 서버 내의 적절한 디렉터리로 복사할 수 있습니다. 그러면 관리자가 브라우저에서 installer.php 파일을 실행하여 사이트의 파일과 데이터베이스(DB)를 복원하는 절차를 시작합니다.
복원이 완료되면 새 사이트로 로그인하도록 안내합니다. 로그인하면 사이트가 성공적으로 이전되었음을 알리는 페이지가 표시됩니다.
이 페이지에서 사용자에게 새 서버에 복사한 Duplicator 관련 파일을 제거할 것을 상기시킵니다. 사실 이전에 사용한 파일을 삭제하지 않으면 워드프레스 알림판에 성가신 메시지가 표시됩니다.
설치 스크립트를 웹에서 접근 가능한 곳에 남겨 두는 것은 아주 위험합니다. 패치되지 않은 Duplicator 백업의 경우 installer.php 스크립트와 installer-backup.php 같은 백업본은 인젝션 취약점(injection vulnerability)에 노출될 수 있습니다.
이와 관련된 자세한 기술적인 사항은 워드프레스 보안 업체인 Wordfence의 "Duplicator Update Patches Remote Code Execution Flaw"를 참고해보시기 바랍니다.
마치며
이전에 Duplicator를 사용하여 사이트를 백업한 적이 있다면 서버에 Duplicator 백업본이 남아있지 않은지 살펴보시기 바랍니다. Duplicator 플러그인을 사용하여 백업한 후에는 반드시 복원에 사용한 백업 파일들을 모두 삭제하는 것이 안전합니다.
그리고 워드프레스 사이트를 안전하게 운영하기 위해서는 플러그인과 테마, 그리고 워드프레스 코어 파일을 항상 최신 버전으로 업데이트하는 것이 중요합니다.
참고로 Duplicator를 사용하여 사이트를 이전할 수 있다면 편리하지만, 간혹 웹호스팅의 제한 때문에, 혹은 이전하고자 하는 데이터/DB의 용량이 너무 커서 이전에 실패할 수 있습니다. 그런 경우 수동으로 이전해야 합니다. 수동으로 이전하는 데 어려움이 있는 경우 여기에서 이전 서비스(유료)를 요청할 수 있습니다.