🇰🇷 한글 설명
Chunghwa Telecom의 TenderDocTransfer에서 반사형 XSS 취약점이 발견되었습니다. CSRF 보호 기능이 없는 API를 악용하여 인증되지 않은 원격 공격자가 사용자의 브라우저에서 임의의 자바스크립트를 실행할 수 있습니다. 또한 Node.js 기능을 지원하는 웹 서버 특성을 이용해 OS 명령어를 실행하는 단계까지 확장이 가능합니다.
💡 쉬운 설명
해커가 보낸 피싱 링크를 클릭하면 사용자의 브라우저에서 악성 코드가 실행될 수 있는 보안 약점입니다. 이 과정에서 해커가 사용자의 컴퓨터에 직접 명령을 내려 제어권을 뺏을 수도 있습니다.
🇺🇸 원문 (English)
TenderDocTransfer from Chunghwa Telecom has a Reflected Cross-site scripting vulnerability. The application sets up a simple local web server and provides APIs for communication with the target website. Due to the lack of CSRF protection for the APIs, unauthenticated remote attackers could use specific APIs through phishing to execute arbitrary JavaScript code in the user’s browser. Since the web server set by the application supports Node.Js features, attackers can further leverage this to run OS commands.
📍 영향받는 시스템
Chunghwa Telecom TenderDocTransfer
⚔️ 공격 벡터
CSRF 보호가 없는 API를 이용한 피싱 공격을 통한 XSS 및 OS Command Injection
🛡️ 대응 방법
API에 CSRF 보호 메커니즘을 도입하고 입력값 검증을 강화하며 최신 보안 패치를 적용해야 합니다.
🔧 검증 코드
응답 헤더에 CSRF 방지 및 XSS 방어 관련 보안 헤더가 누락되었는지 확인합니다.
curl -s -I http://<target-ip>:<port>/api/endpoint | grep -i 'X-Frame-Options' || echo 'No CSRF/XSS protection detected'