🇰🇷 한글 설명
Microsoft Internet Explorer의 특정 버전에서 HTML이 아닌 로컬 파일을 HTML 문서로 렌더링하는 결함이 발견되었습니다. 공격자는 JavaScript를 이용해 file://127.0.0.1 URL을 생성함으로써 시스템의 임의 파일을 읽고 접근 제한을 우회할 수 있습니다.
💡 쉬운 설명
인터넷 익스플로러가 일반 파일을 웹페이지처럼 잘못 읽어들이는 취약점입니다. 이를 통해 해커가 사용자의 컴퓨터에 저장된 중요한 개인 파일을 몰래 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
Microsoft Internet Explorer 5.01 SP4, 6, 6 SP1, 7, and 8 does not prevent rendering of non-HTML local files as HTML documents, which allows remote attackers to bypass intended access restrictions and read arbitrary files via vectors involving JavaScript exploit code that constructs a reference to a file://127.0.0.1 URL, aka the dynamic OBJECT tag vulnerability, as demonstrated by obtaining the data from an index.dat file, a variant of CVE-2009-1140 and related to CVE-2008-1448.
📍 영향받는 시스템
Microsoft Internet Explorer 5.01 SP4, 6, 6 SP1, 7, 8
⚔️ 공격 벡터
JavaScript를 이용한 file://127.0.0.1 URL 참조를 통한 로컬 파일 접근
🛡️ 대응 방법
Internet Explorer를 최신 버전으로 업데이트하거나 최신 보안 패치를 적용하십시오.
🔧 검증 코드
출력된 버전 정보가 취약한 버전(IE 8 이하)인지 확인합니다.
reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer" /v "Version" 2>/dev/null