🇰🇷 한글 설명
CTS 웹 트랜잭션 시스템의 인증 관리 구현에 결함이 있습니다. 공격자는 로그인 후 쿠키를 조작하여 타인의 계정에 접근할 수 있으며, 이를 통해 도용된 신분으로 주식 시장에서 거래를 수행할 수 있습니다.
💡 쉬운 설명
로그인 정보를 담은 쿠키를 가짜로 만들어 다른 사람의 계정으로 몰래 접속할 수 있는 보안 취약점입니다. 이를 통해 타인의 명의로 주식 거래를 하는 등의 피해가 발생할 수 있습니다.
🇺🇸 원문 (English)
The CTS Web transaction system related to authentication management is implemented incorrectly. After login, remote attackers can manipulate cookies to access other accounts and trade in the stock market with spoofed identity.
📍 영향받는 시스템
CTS Web transaction system (인증 관리 모듈)
⚔️ 공격 벡터
로그인 후 조작된 쿠키를 이용한 세션 하이재킹 및 인증 우회
🛡️ 대응 방법
인증 관리 로직을 수정하여 서버 측에서 쿠키의 유효성을 검증하고, 세션 관리 보안을 강화해야 합니다.
🔧 검증 코드
조작된 쿠키를 전송했을 때 타인의 계정 정보나 거래 권한이 허용되는지 응답 코드를 통해 확인합니다.
curl -I -b 'session_cookie=malicious_value' https://target-cts-system.com/api/trade
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access