🇰🇷 한글 설명
인증 엔드포인트가 사용자 입력을 충분히 인코딩하지 않아 악성 JavaScript 페이로드가 주입될 수 있습니다. 조작된 입력을 인증 엔드포인트에 제출하면 이 취약점이 발생할 수 있습니다. 공격에 성공하면 사용자 브라우저를 악성 사이트로 리다이렉트하거나 웹 페이지 UI를 변조하거나 브라우저의 민감한 정보를 탈취할 수 있습니다. 세션 관련 쿠키에 httpOnly 플래그가 설정되어 있어 세션 하이재킹은 불가능합니다.
💡 쉬운 설명
로그인 화면에 악성 코드를 몰래 넣을 수 있는 취약점입니다. 공격자는 이를 이용해 사용자를 가짜 사이트로 보내거나 화면 내용을 바꿀 수 있습니다.
🇺🇸 원문 (English)
The Authentication Endpoint accepts user-supplied input without sufficient encoding, allowing for the injection of malicious JavaScript payloads. This vulnerability can be triggered by submitting crafted input to the Authentication Endpoint.
Successful exploitation allows an attacker to redirect the user's browser to a malicious website, modify the web page's user interface, or extract sensitive information from the browser. However, due to the `httpOnly` flag on session-related cookies, session hijacking is not possible.
📍 영향받는 시스템
CVE-2024-5139 대상 제품의 인증 엔드포인트를 사용하는 해당 버전 (제품별 영향 버전은 공급사 권고 확인 필요)
⚔️ 공격 벡터
인증 엔드포인트에 조작된 입력값(악성 스크립트)을 전달하여 브라우저에서 스크립트가 실행되도록 유도 (XSS)
🛡️ 대응 방법
공급사가 제공하는 최신 보안 패치를 적용하고, 사용자 입력값에 대한 출력 인코딩 및 입력 검증을 적용
🔧 검증 코드
CSP 헤더가 출력되지 않으면 스크립트 실행 완화 장치가 없는 상태이므로 추가 점검과 패치 적용이 필요하며, 출력되면 정책 내용을 확인하고 입력 인코딩 적용 여부를 별도로 검증해야 합니다.
curl -sI https://localhost/login | grep -i 'content-security-policy'