🇰🇷 한글 설명
Cisco Unity Connection 웹 프레임워크의 입력 검증 부족으로 인한 반사형 XSS 취약점으로, 인증되지 않은 원격 공격자가 HTTP GET/POST 매개변수를 통해 임의의 스크립트나 HTML 코드를 실행할 수 있습니다. 사용자가 공격자의 악성 링크를 클릭하면 브라우저 컨텍스트에서 스크립트가 실행됩니다.
💡 쉬운 설명
웹사이트 URL에 숨겨진 악의적인 코드를 넣어 사용자를 속이는 공격입니다. 사용자가 공격자의 링크를 클릭하면 브라우저에서 해커의 스크립트가 실행되어 정보 유출 등의 피해가 발생할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability in the web framework of Cisco Unity Connection could allow an unauthenticated, remote attacker to conduct a reflected cross-site scripting (XSS) attack against a user of the web interface of an affected system. The vulnerability is due to insufficient input validation of certain parameters that are passed to the affected software via the HTTP GET and HTTP POST methods. An attacker who can convince a user to follow an attacker-supplied link could execute arbitrary script or HTML code in the user's browser in the context of an affected site. Known Affected Releases 10.5(2). Cisco Bug IDs: CSCvf25345.
📍 영향받는 시스템
Cisco Unity Connection 10.5(2)
⚔️ 공격 벡터
악성 URL 링크를 사용자에게 전달하여 HTTP GET/POST 매개변수를 통한 반사형 XSS 공격 수행
🛡️ 대응 방법
Cisco 공식 보안 업데이트 적용 또는 최신 버전으로 즉시 업그레이드
🔧 검증 코드
Cisco 제품이 설치되어 있으면 버전 정보가 표시되며, 10.5(2) 버전이면 취약점 적용 대상입니다.
dpkg -l | grep -i cisco || rpm -qa | grep -i cisco