🇰🇷 한글 설명
SysAid의 Okta SSO 통합 기능에서 XML 외부 엔티티 주입(XXE) 취약점이 발견되었습니다. 인증되지 않은 공격자가 조작된 POST 요청을 통해 서버의 파일을 읽거나 SSRF 공격을 수행하여 내부 인프라를 침해할 수 있습니다.
💡 쉬운 설명
로그인 과정에서 사용하는 데이터 형식을 악용하여 서버 내부의 중요한 파일을 몰래 훔쳐보는 공격입니다. 이를 통해 공격자가 서버의 제어권을 얻거나 내부 네트워크로 침투할 위험이 있습니다.
🇺🇸 원문 (English)
SysAid - Okta SSO integration - was found vulnerable to XML External Entity Injection vulnerability. Any SysAid environment that uses the Okta SSO integration might be vulnerable. An unauthenticated attacker could exploit the XXE vulnerability by sending a malformed POST request to the identity provider endpoint. An attacker can extract the identity provider endpoint by decoding the SAMLRequest parameter's value and searching for the AssertionConsumerServiceURL parameter's value. It often allows an attacker to view files on the application server filesystem and interact with any back-end or external systems that the application can access. In some situations, an attacker can escalate an XXE attack to compromise the underlying server or other back-end infrastructure by leveraging the XXE vulnerability to perform server-side request forgery (SSRF) attacks.
📍 영향받는 시스템
Okta SSO 통합 기능을 사용하는 모든 SysAid 환경
⚔️ 공격 벡터
SAMLRequest 파라미터를 디코딩하여 엔드포인트를 식별한 후, 조작된 XML 데이터를 포함한 POST 요청 전송
🛡️ 대응 방법
SysAid 보안 패치 적용 및 XML 파서의 외부 엔티티 참조 기능 비활성화
🔧 검증 코드
요청 시 서버가 XML 외부 엔티티를 처리하여 민감한 정보를 반환하거나 오류를 발생시키는지 확인
curl -X POST -d "SAMLRequest=malformed_xml_payload" https://<sysaid-endpoint>/saml/endpoint
📊 CVSS Vector String
CVSS:3.1/AV:A/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:L
💻 영향받는 소프트웨어
IBM Verify Identity Access