XpressEngine 신규 보안 취약점 신고서

본 취약점을 공개, 다른 기관 신고한 이력이 있습니까?          □ 예   □ 아니요

신고자 정보

성  명

소  속

전화번호

이메일

주  소

취약점 정보 활용 및 비밀유지

신고하신 취약점 정보는 XpressEngine(이하 XE)의 취약점의 보완(보안 패치 업데이트)을 위해 사용됩니다.

포상은 공개되지않은 취약점을 대상으로 하며, 신고 후에도 아래와 같이 그 어떠한 목적으로도 제3자에게 공개할 수 없습니다.

보안패치를 배포 한 날로부터 120일(약 4개월) 이전에 공개 불가

신고서에 작성한 내용이 사실과 다르게 작성되거나, 제3자에게 취약점을 공개한 경우, 취약점을 악용한 경우, 비밀유지 의무 등을 위반한 사실이 밝혀진 경우 다음과 같은 불이익을 당할 수 있습니다.

밝혀진 날로부터 1년 동안 평가 및 포상 대상에서 제외

해당 취약점으로 이미 포상 받은 경우 포상 취소 및 지급 포상을 전부 환수

취약점 정보 활용 및 비밀유지에 동의하십니까?          □ 동의함   □ 동의하지않음

정보통신망 이용촉진 및 정보보호에 관한 법률 위반행위 관련 안내

웹사이트나 시스템(서버, 네트워크, 보안장비 등)에 영향을 줄 우려가 있는 서비스 취약점은 평가 및 포상 대상에서 제외됨은 물론, 법에 의해 처벌 받을 수 있습니다.

｢정보통신망 이용촉진 및 정보보호에 관한 법률｣ 제71조 제10호 및 제48조 제3항에 따라 정보통신망의 안정적 운영을 방해할 목적으로 대량의 신호 또는 데이터를 보내거나 부정한 명령을 처리하도록 하는 등의 방법으로 정보통신망에 장애를 발생하게 하였다면 5년 이하의 징역 또는 5천만원 이하의 벌금에 처한다.

개인정보 수집 및 이용 동의

개인정보 수집 이용 목적 : 신규 보안 취약점 신고 포상제 운영 및 포상 지급

수집하는 개인정보 항목 : 성명, 소속, 이메일, 전화번호, 주소

보유 및 이용기간 : 소득세법 등 관련법령에 따른 보유기간 또는 3년

개인정보의 수집 및 이용을 거부할 수 있으며, 이 경우 포상 및 기념품 지급이 제한됩니다.

개인정보 수집 및 이용에 동의하십니까?          □ 동의함   □ 동의하지않음

취약점 상세 설명 작성 시 준수 사항

다음 작성 방법을 준수하여 각 항목을 작성해야 하며, 내용이 불충분할 경우 재작성을 요청드릴 수 있습니다.

취약점을 증명/검증할 수 있는 개념증명코드(Proof Of Concept Code)는 별도 파일로 제출(필수) 바랍니다.

취약점을 신고한 소프트웨어는 별도 파일로 제출 바랍니다.

신고 내용이 사실과 다를 경우 문서완성도 평가 시 감점될 수 있습니다.

취약점을 이용한 공격(계산기 팝업 등)이 포함된 공격코드(Exploit Code) 별도 제출 시, 기술 가산점을 부여합니다.

1. 취약점 발견 방법

- 취약점을 어떻게 발견하였는지에 대한 기술 설명(크래시 발생, 퍼징 도구 활용, 코드 진단 등)

2. 취약점 발생 원인

- 취약점 발생 입력 데이터 설명(문자열, 이미지 등의 파일)

- 취약점 발생 위치 설명(함수, 파일, 코드 일부 등)

- 취약점 발생 원인 설명(소스코드 분석, 리버싱 결과 등으로 취약점 발생 원인을 파악한 내용 기술)

3. 취약점 증명/검증

- 취약점에 대한 상세 분석 결과 기술

※ 취약점 분석 결과 스크린샷 및 설명, POC 디버깅 과정 설명 , 보호 기법 우회 기술, 취약점 발생 동영상 등

4. 취약점 악용 시나리오

- 취약점이 악용될 수 있는 공격 시나리오와 관련 서비스(또는 시스템)에 미칠 수 있는 영향

5. 조치 방안

- 취약점을 해결할 수 있는 효과적인 방법 및 취약점을 해결하는 코드 제시

6. 기타

- 취약점 관련하여 참고할 수 있는 자료(웹사이트 주소 등)

- 발견한 취약점을 악용하고 있는 사례가 있다면 이에 대한 설명

- 첨부한 각 파일에 대한 설명(파일명 : 파일에 대한 설명)

취약점 개요

취약점 제목

취약점 요약

취약점 발생 버전

취약점 발생환경

※ 취약점 테스트 시 사용된 운영체제 버전 정보, 어플리케이션, 별도로 설치가 필요한 프로그램(웹서버, 플러그인) 등 환경 구성에 대한 구체적인 정보 제시(단, 특정 환경에서만 발생하는 취약점의 경우 해당 환경에 대한 상세 설명 반드시 기재)

취약점 상세 설명

1. 취약점 발견 방법

o

o

2. 취약점 발생원인

o

o

3. 취약점 증명 / 검증

o

o

4. 취약점 악용 시나리오

o

o

5. 조치 방안

o

o

6. 기타

o

o

신고자 정보의 게시 동의서

신고하신 취약점 내역을 XE 공식사이트에 이력을 게시할 수 있습니다.

표기 이름

이메일

웹사이트

단체 및 기관명

위와 같이 작성한 정보를 게시하는 것에 동의합니다.

년              월             일

성명(실명)                                              (서명 및 날인)

기념품 지금 시 수령 가능한 주소