🇰🇷 한글 설명
Sitecore CMS 7.0~7.2 및 Sitecore XP 7.5~8.2 버전의 Sitecore.Security.AntiCSRF 모듈에서 신뢰할 수 없는 데이터의 역직렬화 취약점이 발견되었습니다. 인증되지 않은 공격자가 HTTP POST 파라미터인 __CSRFTOKEN에 직렬화된 .NET 객체를 전송함으로써 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
해커가 조작된 데이터를 웹사이트에 보내면 서버가 이를 잘못 해석하여 해커가 원하는 명령을 실행하게 만드는 보안 구멍입니다. 로그인하지 않은 외부인도 웹사이트의 제어권을 완전히 뺏을 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
Deserialization of Untrusted Data in the Sitecore.Security.AntiCSRF (aka anti CSRF) module in Sitecore CMS 7.0 to 7.2 and Sitecore XP 7.5 to 8.2 allows an unauthenticated attacker to execute arbitrary code by sending a serialized .NET object in the HTTP POST parameter __CSRFTOKEN.
📍 영향받는 시스템
Sitecore CMS 7.0-7.2, Sitecore XP 7.5-8.2
⚔️ 공격 벡터
HTTP POST 요청의 __CSRFTOKEN 파라미터에 악성 직렬화 객체를 삽입하여 전송
🛡️ 대응 방법
Sitecore에서 제공하는 최신 보안 패치를 적용하거나 해당 모듈의 역직렬화 로직을 수정해야 합니다.
🔧 검증 코드
명령어 결과에 해당 모듈과 취약한 버전 범위가 나타나면 해당 시스템은 공격에 노출될 수 있습니다.
grep -r "Sitecore.Security.AntiCSRF" /path/to/sitecore/bin/ | grep -E '7\.[0-2]|8\.[0-2]'