Substack 사용자 지정 도메인 취약점으로 인한 하이재킹 위험

Substack Custom Domain Vulnerability Exposes Thousands to Potential Hijacking

Substack Custom Domain Vulnerability Exposes Thousands to Potential Hijacking

 

• 취약점 개요
  • Substack의 사용자 지정 도메인(Custom Domain) 설정 취약점 발견
  • 비활성화된 서브도메인을 악용하여 공격자가 도메인을 하이재킹할 가능성
  • DNS 레코드 설정 미흡으로 인해 제3자가 악성 콘텐츠를 배포할 위험 증가
  • Substack의 자체 인프라 문제는 아니지만, 도메인 관리 방식의 보안 허점이 원인
• Substack 사용자 지정 도메인 설정 방식
  • 기본 도메인(e.g., username.substack.com)을 사용자 지정 도메인(e.g., www.example.com) 변경 가능
  • 설정을 위해 CNAME DNS 레코드를 target.substack-custom-domains.com으로 지정해야 함
  • Cloudflare for SaaS를 활용하여 도메인 트래픽을 Substack 블로그로 라우팅
  • 사용자 지정 도메인을 설정하려면 한 번에 $50의 수수료 지불 필요
  • 비활성화된 블로그가 CNAME을 제거하지 않을 경우, 도메인 잔류 문제 발생
• 도메인 하이재킹 공격 방식
  • Substack은 도메인 소유권을 확인하지 않음
  • TXT 레코드 검증 없이 단순히 CNAME 레코드만 존재하면 새로운 사용자가 해당 도메인을 등록 가능
  • 공격자는 비활성화된 블로그의 도메인을 Substack 계정에 추가하고 $50을 지불하면 해당 도메인으로 콘텐츠 배포 가능
  • 와일드카드 CNAME(e.g., _.example.com) 설정된 도메인은 전체 하위 도메인이 위험
• 실제 분석 결과
  • 16,925개 Substack 도메인 DNS 데이터베이스(SecurityTrails) 분석
  • 1,426개 도메인(8.4%)이 비활성화된 블로그에 연결된 상태 → 공격 가능
  • 11개 도메인은 와일드카드 CNAME을 포함, 다수의 하위 도메인에 대한 위험 증가
  • Cloudflare의 SSL 인증서가 적용되므로 하이재킹된 도메인이 합법적인 사이트처럼 보일 가능성
• 보안 권고
  • Cloudflare for SaaS의 도메인 인증 기능 활성화 필요
    • TXT 레코드 검증을 통해 도메인 소유권 확인 추가
  • 사용자 맞춤 도메인 비활성화 시 CNAME 레코드 즉시 제거 권고
  • 와일드카드 CNAME 사용 기업은 명시적인 서브도메인 항목으로 전환
  • 도메인 보안 점검 및 DNS 관리 체계 정비 필수
• 결론
  • DNS 위생(DNS Hygiene)은 보안의 핵심 요소
  • 도메인 소유권 검증이 없을 경우, 악의적인 도메인 하이재킹 및 피싱 위험 증가
  • 사용자 편의성을 고려한 보안 정책 개선 필요, 단순한 수수료($50)가 보안 대책이 되어서는 안 됨
  • Substack과 유사한 플랫폼의 도메인 관리 보안 검토 필수