🇰🇷 한글 설명
Shopware 6.5.8.0 버전부터 성능 향상을 위해 404 페이지를 캐싱하는 과정에서 세션 쿠키가 포함된 응답이 캐싱되는 취약점이 발견되었습니다. 이로 인해 세션이 없는 브라우저가 404 페이지에 접근할 때 세션 쿠키가 노출될 수 있습니다. Shopware 6.5.8.7 버전에서 이 문제가 해결되었습니다.
💡 쉬운 설명
웹사이트에서 잘못된 주소(404 오류)를 방문했을 때, 원래는 보여주면 안 되는 개인 로그인 정보(세션 쿠키)가 함께 저장되어 노출될 수 있는 문제입니다. 이 정보가 유출되면 다른 사람이 사용자의 계정으로 접속할 위험이 있습니다.
🇺🇸 원문 (English)
Shopware is an open commerce platform based on Symfony Framework and Vue. The Symfony Session Handler pops the Session Cookie and assigns it to the Response. Since Shopware 6.5.8.0, the 404 pages are cached to improve the performance of 404 pages. So the cached Response which contains a Session Cookie when the Browser accessing the 404 page, has no cookies yet. The Symfony Session Handler is in use, when no explicit Session configuration has been done. When Redis is in use for Sessions using the PHP Redis extension, this exploiting code is not used. Shopware version 6.5.8.7 contains a patch for this issue. As a workaround, use Redis for Sessions, as this does not trigger the exploit code.
📍 영향받는 시스템
Shopware 6.5.8.0 ~ 6.5.8.6 (Redis를 세션 저장소로 사용하지 않는 경우)
⚔️ 공격 벡터
캐싱된 404 응답에 포함된 세션 쿠키를 탈취하여 세션 하이재킹 시도
🛡️ 대응 방법
Shopware를 6.5.8.7 이상 버전으로 업데이트하거나, 세션 저장소로 Redis를 사용하도록 설정하십시오.
🔧 검증 코드
출력된 버전이 6.5.8.7 미만인지 확인하여 취약 여부를 판단합니다.
composer show shopware/core | grep versions