🇰🇷 한글 설명
Sitecore 9.1 이하 버전의 anti-CSRF 모듈에서 신뢰할 수 없는 데이터의 역직렬화 취약점이 발견되었습니다. 인증된 공격자가 HTTP POST 파라미터에 직렬화된 .NET 객체를 전송함으로써 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
로그인 권한이 있는 사용자가 특수하게 조작된 데이터를 보내 서버를 조종할 수 있는 보안 약점입니다. 이를 통해 해커가 서버에서 원하는 명령을 마음대로 실행할 수 있습니다.
🇺🇸 원문 (English)
Deserialization of Untrusted Data in the anti CSRF module in Sitecore through 9.1 allows an authenticated attacker to execute arbitrary code by sending a serialized .NET object in an HTTP POST parameter.
📍 영향받는 시스템
Sitecore 9.1 및 그 이전 버전
⚔️ 공격 벡터
인증된 사용자가 HTTP POST 요청의 파라미터에 악성 직렬화 객체를 포함하여 전송
🛡️ 대응 방법
Sitecore 보안 패치를 적용하거나 최신 버전으로 업데이트하여 역직렬화 취약점 해결
🔧 검증 코드
응답 헤더나 페이지 정보에서 Sitecore 버전이 9.1 이하인지 확인하여 취약 여부를 판단합니다.
curl -s -I http://<target-ip>/sitecore/api/version | grep -i 'Sitecore'