2026년 2월 국가정보원의 보안 권고사항에 따라 잠재적인 보안 위협을 예방하고
시스템 안정성을 강화하기 위해 OZ8.0, 9.0 버전에 대한 보안 개선이 진행되었습니다.
자세한 보안 패치 방법은 유지보수 고객사를 대상으로 가이드문서를 별도 배포하고 있습니다.
보안 패치를 원하시는데 메일이나 연락을 받지 못하신 경우 02-6188-8282(ARS) + 1번으로 접수해 주시기 바랍니다.
- 기술공지 : https://oztn.net/kb/article/notice/176953977327277
- 패치파일 : 가이드문서 8페이지 링크에 최신 패치가 실시간으로 업로드 됩니다.
링크의 OZ_Patch_Guide_verX.0.txt 파일에 패치 방법 및 상세 버전이 안내되어 있습니다.
장애 발생시 패치를 다시 받으시기 바랍니다.
자주 문의하시는 질문에 대해 아래와 같이 안내드립니다.
■ 보안패치 대상 제품
▶ Q. EXE Viewer 를 사용하는 경우에도 보안 패치가 필요한가요?
A. OZ Report/e-Form용 OZ Server, Scheduler는 뷰어 종류와 관계없이 패치 대상입니다.
뷰어의 경우 HTML5 Viewer만 패치 대상이며,
클라이언트에서 실행되는 EXE Viewer 자체는 패치 대상이 아닙니다.
다만 EXE Viewer를 서비스하는 OZ Server는 패치 대상입니다.
▶ Q. OZ Application, OZ EQ 를 사용하는 경우에도 보안 패치가 필요한가요?
A. 해당 제품을 사용하는 고객사는 이번 보안 패치 대상이 아닙니다.
▶ Q. OZ 이폼사인을 사용하는 경우 보안 패치가 필요한가요?
A. 이폼사인 온프레미스(On-Premise)를 사용하는 고객사는 보안 패치 대상이 아닙니다.
■ WhiteList
▶ Q. 보고서에서 사용하는 모든 URL을 WhiteList에 등록해야 하나요?
A. 그렇지 않습니다. 서버에서 실행되는 뷰어 모듈이 접근하는 URL만 WhiteList 등록 대상입니다.
- 오즈 서버의 리파지토리(ozp://) 또는 data:(base64) 경로가 아닌 URL, 파일 경로는 wlist.cfg에 등록하세요.
- 결과적으로 오즈 서버나 스케줄러 서버내의 뷰어(Applet or EXE)가 실행되는 기능을 사용한다면
서식과 관련된 URL들을 모두 wlist.cfg에 등록하세요.
◎ 대상 제품 : 다음 제품을 사용하는 경우 관련 URL의 도메인을 WhiteList에 등록하셔야 합니다.
① HTML5(SVG) → 서버의 HTML5Manager의 Applet/EXE모듈 이용
② SchedulerAPI → 서버의 OZ Scheduler의 Applet/EXE모듈 이용
③ ServerbindingAPI → 서버의 OZ Server의 Applet모듈 이용
◎ 대상이 아닌 제품 :
위의 ①~③에 해당하지 않는 제품은 WhiteList 등록이 필요 없습니다.
단, HTML5(Canvas)는 클라이언트에서 실행되어 서버 뷰어모듈을 사용하지 않지만, font.폰트명.url 뷰어패러미터를 사용하는 경우에만 WhiteList등록이 필요합니다.
※ HTML5뷰어가 Canvas방식인지 SVG 방식인지 구분하는 방법과 Scheduler, Serverbinding 사용 여부는 아래 내용을 참고하시기 바랍니다.
▶ Q. WhiteList 등록 후 재시작이 필요한가요?
A. 처음 추가할때는 재시작하지 않아도 인식됩니다. 이후 내용 수정시에는 재시작을 해야 올바로 반영됩니다.
▶ Q. 오즈 서버 경로인 Request-URI도 WhiteList에 추가해야 하나요?
A. 추가할 필요 없습니다. 라이선스에 명시되는 Request-URI, 즉 오즈서버 URL (connection.servlet 요청)은 WhiteList에 등록하지 않아도 됩니다.
▶ Q. connection.openfile 경로도 추가해야 하나요?
A. 네. 추가해야 합니다. ozd 파일이 위치하는 임의의 경로는 WhiteList에 등록해야 합니다.
예)
connection.openfile=http://111.123.10.1:8080/oz80/sample/a.ozd → http://111.123.10.1:8080 를 wlist.cfg에 추가
connection.openfile=/usr/temp/a.ozd → file:///usr/ 를 wlist.cfg에 추가하면 usr 하위 경로는 모두 허용됩니다.
connection.openfile=ozp://sample/a.ozd → 리파지토리는 등록할 필요 없습니다.
▶ Q. 오즈 서버와 동일한 도메인에서 가져오는 URL도 추가해야 하나요?
A. 네. 추가해야 합니다. 오즈 서버와 동일한 IP 또는 도메인에서 가져오는 URL도 WhiteList에 등록해야 합니다.
▶ Q. ODI 에서 가져오는 경로도 WhiteList에 추가해야 하나요?
A. 추가할 필요 없습니다. odi 파일은 OZ Server에서 처리되며 서버의 뷰어 모듈과는 관련이 없습니다.
따라서 ODI에서 사용하는 경로는 WhiteList 등록 대상이 아닙니다.
FileStore, HttpStore, XMLStore에서 요청하는 파일 또는 URL 경로는 WhiteList에 등록하지 않아도 됩니다.
▶ Q. 에러 발생시 어떤 URL에서 blocked 되었는지 알 수 있나요?
A. 네. 알 수 있습니다. blocked by path filter 앞뒤로 나오는 URL을 확인하시면 됩니다.
• HTML5Manager / Scheduler : sch80/logs/OZSchedulerMainLog.log
예) 이미지 경로 등록이 안된 경우
2026-02-24 17:45:16,083 [Thread-248] ERROR SVGExcute - image download error ...
Could not open url "http://211.111.11.1/oz90/images/do.jpg" :
blocked by path filter: http://211.111.11.1/oz90/images/do.jpg
• Serverbinding : oz80/WEB-INF/logs/server.log
■ HTML5 뷰어 Canvas/SVG 방식 구분 방법
▶ Q. HTML5 뷰어가 Canvas인지 SVG인지 어떻게 확인하나요?
A. 뷰어를 호출하는 소스에서 OZJSViewer.js를 사용하면 canvas, OZJSSVGViewer.js를 사용하면 svg 방식입니다.
- Canvas 방식 : <script type="text/javascript" src="http://127.0.0.1/oz80/ozhviewer/OZJSViewer.js" charset="utf-8">
- SVG 방식 : <script type="text/javascript" src="http://127.0.0.1/oz80/ozhviewer/OZJSSVGViewer.js" charset="utf-8">
뷰어 실행할 때 F12 개발자도구 네트워크 탭에도 보입니다.
■ Serverbinding 사용 구분 방법
▶ Q. 오즈 서버바인딩 API를 사용하는지 어떻게 확인하나요?
A. 서버바인딩을 사용하려면 오즈 서버 라이선스에 USE-SERVERBIND가 TRUE여야 합니다. FALSE면 사용할 수 없습니다.
예) oz80/WEB-INF/license/ozlicense.xml
<OZ-SERVER-FRAMEWORK ~ 노드 내에 USE-SERVERBIND="TRUE"
소스에서는 오즈 서버 웹모듈내의 java나 jsp에서 getRequestDispatcher("/server") 을 구현한 소스가 있는지 확인합니다.
예) oz80/test/third.jsp : RequestDispatcher dispatcher = application.getRequestDispatcher("/server");
■ Scheduler 사용 구분 방법
▶ Q. 오즈 스케줄러 API를 사용하는지 어떻게 확인하나요?
A. 스케줄러를 사용하려면 서버에 별도 데몬으로 스케줄러가 구동중이어야 합니다.
- Windows : 서비스에 OZScheduler가 있거나 scheduler.bat이 명령 프롬프트에서 실행중인 경우
- Linux/Unix : ps -ef | grep scheduler로 실행중인 프로세스가 있는 경우
스케줄러를 사용하려면 라이선스에 OZSCHEDULER 노드가 있어야 합니다.
예) ozsch80/license/ozlicense.xml
<OZ-LICENSE><OZSCHEDULER ~
소스에서는 oz.scheduler.* 패키지를 import하고 Scheduler 클래스를 사용하는 부분이 있는지 확인할 수 있습니다.
예)
<%@ page import="oz.scheduler.*, oz.framework.api.*, .. %>
<% ... Scheduler scheduler = new Scheduler(schedulerIp, schedulerPort); ... %>
|
NOSPAM_mklee@forcs.com
