🇰🇷 한글 설명
Microsoft XML Core Services에서 Set-Cookie2 HTTP 응답 헤더에 대한 웹 페이지의 접근 제한이 적절히 이루어지지 않는 취약점입니다. 이로 인해 원격 공격자가 XMLHttpRequest 호출을 통해 HTTPOnly 보호 메커니즘이 적용된 쿠키를 포함한 민감한 정보를 탈취할 수 있습니다. 이는 CVE-2008-4033에 대한 불완전한 수정으로 인해 발생한 문제입니다.
💡 쉬운 설명
웹사이트가 보안을 위해 숨겨두어야 할 중요한 쿠키 정보를 해커가 몰래 훔쳐볼 수 있는 결함입니다. 공격자는 특수한 명령을 보내 사용자의 로그인 정보와 같은 민감한 데이터를 가로챌 수 있습니다.
🇺🇸 원문 (English)
Microsoft XML Core Services, as used in Microsoft Expression Web, Office, Internet Explorer 6 and 7, and other products, does not properly restrict access from web pages to Set-Cookie2 HTTP response headers, which allows remote attackers to obtain sensitive information from cookies via XMLHttpRequest calls, related to the HTTPOnly protection mechanism. NOTE: this issue reportedly exists because of an incomplete fix for CVE-2008-4033.
📍 영향받는 시스템
Microsoft Expression Web, Office, Internet Explorer 6 및 7, Microsoft XML Core Services 사용 제품
⚔️ 공격 벡터
XMLHttpRequest를 이용한 원격 웹 페이지를 통한 쿠키 정보 탈취
🛡️ 대응 방법
Microsoft에서 제공하는 최신 보안 업데이트를 적용하여 XML Core Services를 패치해야 합니다.
🔧 검증 코드
출력된 XML Core Services의 버전이 해당 취약점이 해결된 보안 패치 버전인지 확인합니다.
reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\XML Core Services" /v "Version" 2>/dev/null