🇰🇷 한글 설명
DevExpress ASP.NET Web Forms Build v19.2.3의 ASPxHttpHandlerModule에서 /DXR.axd?r= HTTP GET 파라미터에 대한 참조 객체 검증이 누락되었습니다. 이로 인해 발생하는 IDOR(부적절한 직접 객체 참조) 취약점은 공격자가 애플리케이션 소스 코드를 탈취할 수 있게 합니다. 다만, 벤더 측은 탈취되는 코드가 브라우저에 공개된 클라이언트 측 코드일 뿐이라고 주장합니다.
💡 쉬운 설명
웹사이트의 특정 주소를 조작하여 원래는 볼 수 없는 내부 설계도(클라이언트 코드)를 훔쳐볼 수 있는 보안 약점입니다. 공격자가 이를 통해 웹사이트가 어떻게 작동하는지 파악하여 더 큰 공격을 준비할 수 있습니다.
🇺🇸 원문 (English)
The DevExpress Resource Handler (ASPxHttpHandlerModule) in DevExpress ASP.NET Web Forms Build v19.2.3 does not verify the referenced objects in the /DXR.axd?r= HTTP GET parameter. This leads to an Insecure Direct Object References (IDOR) vulnerability which allows attackers to access the application source code. NOTE: the vendor disputes this because the retrieved source code is only the DevExpress client-side application code that is, of course, intentionally readable by web browsers (a site's custom code and data is never accessible via an IDOR approach).
📍 영향받는 시스템
DevExpress ASP.NET Web Forms Build v19.2.3
⚔️ 공격 벡터
/DXR.axd?r= 파라미터를 조작하는 HTTP GET 요청
🛡️ 대응 방법
DevExpress 최신 보안 패치 적용 및 해당 모듈의 접근 제어 설정 강화
🔧 검증 코드
해당 URL 요청 시 200 OK 응답이 오고 클라이언트 측 리소스가 반환된다면 취약한 설정이 활성화되어 있을 가능성이 있습니다.
curl -s -I 'http://<target-ip>/DXR.axd?r=some_resource' | grep -i 'HTTP/1.1 200 OK'