🇰🇷 한글 설명
Web-Sesame 2020.1.1.3375 버전의 설정 오류로 인해 인증되지 않은 공격자가 애플리케이션의 소스 코드를 다운로드할 수 있습니다. Webpack 설정에 JavaScript 소스 맵이 포함되어 있어, 공격자가 소스 코드, 설정 값(API 키 등), 개발자 주석을 확인할 수 있게 됩니다.
💡 쉬운 설명
웹사이트를 만들 때 사용하는 설계도가 실수로 인터넷에 공개된 상태입니다. 이를 통해 해커가 웹사이트의 내부 구조와 중요한 비밀번호 같은 정보를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
A misconfiguration in Web-Sesame 2020.1.1.3375 allows an unauthenticated attacker to download the source code of the application, facilitating its comprehension (code review). Specifically, JavaScript source maps were inadvertently included in the production Webpack configuration. These maps contain sources used to generate the bundle, configuration settings (e.g., API keys), and developers' comments.
📍 영향받는 시스템
Web-Sesame 2020.1.1.3375
⚔️ 공격 벡터
인증되지 않은 공격자가 웹 서버에 포함된 JavaScript 소스 맵(.map 파일)을 직접 요청하여 다운로드
🛡️ 대응 방법
운영 환경의 Webpack 설정에서 소스 맵(Source Maps) 생성을 비활성화하거나 생성된 .map 파일을 서버에서 제거
🔧 검증 코드
명령어 결과로 HTTP 200 OK가 반환되면 소스 맵 파일이 외부에 노출되어 있는 상태입니다.
curl -I https://<target-url>/path/to/bundle.js.map 2>/dev/null | grep -E 'HTTP/1.1 200|HTTP/2 200'