🇰🇷 한글 설명
Apache Tomcat의 예제 웹 애플리케이션에 포함된 calendar 애플리케이션의 XSS 취약점으로, jsp/cal/cal2.jsp 파일의 time 파라미터가 제대로 검증되지 않습니다. 공격자는 이를 악용하여 임의의 웹스크립트 또는 HTML을 주입할 수 있으며, 사용자의 브라우저에서 악의적인 코드가 실행될 수 있습니다.
💡 쉬운 설명
Tomcat의 예제 달력 기능에 보안 결함이 있어서 공격자가 악의적인 코드를 심을 수 있습니다. 사용자가 조작된 링크를 클릭하면 그 코드가 실행되어 정보 탈취나 피해가 발생할 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in jsp/cal/cal2.jsp in the calendar application in the examples web application in Apache Tomcat 4.1.0 through 4.1.39, 5.5.0 through 5.5.27, and 6.0.0 through 6.0.18 allows remote attackers to inject arbitrary web script or HTML via the time parameter, related to "invalid HTML."
📍 영향받는 시스템
Apache Tomcat 4.1.0-4.1.39, 5.5.0-5.5.27, 6.0.0-6.0.18
⚔️ 공격 벡터
time 파라미터에 XSS 페이로드를 포함하여 cal2.jsp에 요청을 전송하여 악의적인 스크립트 주입
🛡️ 대응 방법
영향받는 Tomcat을 4.1.40 이상, 5.5.28 이상, 6.0.19 이상으로 업그레이드하거나 예제 애플리케이션 제거
🔧 검증 코드
설치된 Tomcat 버전을 확인하여 4.1.40 미만, 5.5.28 미만, 또는 6.0.19 미만이면 취약한 상태
dpkg -l 2>/dev/null | grep -i tomcat || rpm -qa 2>/dev/null | grep -i tomcat