🇰🇷 한글 설명
TIBCO JasperReports Server의 HTML 이스케이프 구성 요소에서 발생하는 취약점으로, 네트워크 접근 권한이 있는 권한 있는 공격자가 XSS 공격을 수행할 수 있습니다. 이 공격이 성공하려면 공격자 이외의 사용자의 상호작용이 필요합니다.
💡 쉬운 설명
관리자 권한을 가진 해커가 웹사이트에 악성 코드를 심어 다른 사용자의 정보를 훔칠 수 있는 보안 약점입니다. 사용자가 특정 링크를 클릭하거나 페이지를 방문할 때 공격이 실행될 수 있습니다.
🇺🇸 원문 (English)
The HTML escaping component of TIBCO Software Inc.'s TIBCO JasperReports Server, TIBCO JasperReports Server, TIBCO JasperReports Server - Community Edition, TIBCO JasperReports Server - Developer Edition, TIBCO JasperReports Server for AWS Marketplace, TIBCO JasperReports Server for AWS Marketplace, TIBCO JasperReports Server for Microsoft Azure, and TIBCO JasperReports Server for Microsoft Azure contains an easily exploitable vulnerability that allows a privileged/administrative attacker with network access to execute an XSS attack on the affected system. A successful attack using this vulnerability requires human interaction from a person other than the attacker. Affected releases are TIBCO Software Inc.'s TIBCO JasperReports Server: versions 8.0.2 and below, TIBCO JasperReports Server: version 8.1.0, TIBCO JasperReports Server - Community Edition: versions 8.1.0 and below, TIBCO JasperReports Server - Developer Edition: versions 8.1.0 and below, TIBCO JasperReports Server for AWS Marketplace: versions 8.0.2 and below, TIBCO JasperReports Server for AWS Marketplace: version 8.1.0, TIBCO JasperReports Server for Microsoft Azure: versions 8.0.2 and below, and TIBCO JasperReports Server for Microsoft Azure: version 8.1.0.
📍 영향받는 시스템
TIBCO JasperReports Server (8.1.0 포함 특정 버전), Community/Developer Edition (8.1.0 이하), AWS/Azure Marketplace 버전 (8.1.0 및 8.0.2 이하)
⚔️ 공격 벡터
권한을 가진 공격자가 HTML 이스케이프가 미흡한 지점에 악성 스크립트를 삽입하여 사용자 브라우저에서 실행되도록 유도
🛡️ 대응 방법
TIBCO에서 제공하는 최신 보안 패치를 적용하거나 취약점이 해결된 상위 버전으로 업데이트하십시오.
🔧 검증 코드
서버 응답에서 JasperReports 버전 정보를 확인하여 취약한 버전 범위에 해당하는지 대조하십시오.
curl -s http://<TARGET_IP>:<PORT>/jasperserver/ | grep -i 'JasperReports'