🇰🇷 한글 설명
SAP NetWeaver AS ABAP의 Business Server Pages 애플리케이션(CRM_BSP_FRAME)에서 사용자 제어 입력값이 충분히 인코딩되지 않아 발생하는 반사형 XSS 취약점입니다. 공격자는 이를 통해 악성 스크립트를 실행하여 사용자의 세션을 탈취하거나 정보를 유출할 수 있습니다.
💡 쉬운 설명
웹사이트가 사용자가 입력한 내용을 검사하지 않고 그대로 화면에 보여줄 때 발생하는 보안 약점입니다. 해커가 만든 악성 코드가 사용자의 브라우저에서 실행되어 개인정보를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
SAP NetWeaver AS ABAP (Business Server Pages application CRM_BSP_FRAME), versions 700, 701, 702, 710, 711, 730, 731, 740, 750, 751, 752, 75A, 75B, 75C, 75D, 75E, does not sufficiently encode user controlled inputs, resulting in reflected Cross-Site Scripting (XSS) vulnerability.
📍 영향받는 시스템
SAP NetWeaver AS ABAP (CRM_BSP_FRAME) 버전 700, 701, 702, 710, 711, 730, 731, 740, 750, 751, 752, 75A, 75B, 75C, 75D, 75E
⚔️ 공격 벡터
조작된 URL이나 입력 폼을 통해 악성 스크립트가 포함된 요청을 서버로 보내 사용자 브라우저에서 실행되도록 유도
🛡️ 대응 방법
SAP에서 제공하는 최신 보안 패치를 적용하고, 사용자 입력값에 대한 적절한 출력 인코딩 처리를 수행해야 합니다.
🔧 검증 코드
대상 시스템의 SAP NetWeaver 버전을 확인하여 취약한 버전 범위에 해당하는지 대조합니다.
curl -s -I http://<target_host>/sap/bc/bsp/sap/crm_bsp_frame/ | grep -i 'Server'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server