🇰🇷 한글 설명
Cisco Secure IDS, Snort, ISS RealSecure 등 다양한 침입 탐지 시스템(IDS)에서 발생하는 취약점입니다. 공격자가 HTTP 요청 URL에 표준이 아닌 '%u' 유니코드 인코딩을 사용하여 ASCII 문자를 변조함으로써 IDS의 탐지를 우회할 수 있습니다.
💡 쉬운 설명
해커가 특수한 암호화 방식을 사용하여 공격 코드를 숨기면, 보안 시스템이 이를 정상적인 요청으로 착각하고 통과시키는 문제입니다. 이로 인해 보안 장비가 공격을 감지하지 못하고 실제 서버로 공격이 전달될 수 있습니다.
🇺🇸 원문 (English)
Various Intrusion Detection Systems (IDS) including (1) Cisco Secure Intrusion Detection System, (2) Cisco Catalyst 6000 Intrusion Detection System Module, (3) Dragon Sensor 4.x, (4) Snort before 1.8.1, (5) ISS RealSecure Network Sensor 5.x and 6.x before XPU 3.2, and (6) ISS RealSecure Server Sensor 5.5 and 6.0 for Windows, allow remote attackers to evade detection of HTTP attacks via non-standard "%u" Unicode encoding of ASCII characters in the requested URL.
📍 영향받는 시스템
Cisco Secure IDS, Cisco Catalyst 6000 IDS, Dragon Sensor 4.x, Snort < 1.8.1, ISS RealSecure 5.x/6.x
⚔️ 공격 벡터
HTTP 요청 URL 내에 비표준 '%u' 유니코드 인코딩을 삽입하여 탐지 엔진 우회
🛡️ 대응 방법
IDS 소프트웨어를 최신 버전으로 업데이트하거나 비표준 유니코드 인코딩에 대한 검사 규칙을 적용합니다.
🔧 검증 코드
출력된 Snort 버전이 1.8.1 미만인 경우 해당 취약점에 노출된 상태입니다.
snort --version 2>/dev/null | grep -E 'version'