🇰🇷 한글 설명
DigitalPA의 Legality WHISTLEBLOWING 시스템에서 중요한 HTTP 보안 헤더가 기본적으로 누락되는 보호 메커니즘 결함이 발견되었습니다. Content-Security-Policy를 포함한 주요 보안 헤더의 부재로 인해 XSS, 클릭재킹, 데이터 유출과 같은 클라이언트 측 공격에 취약할 수 있습니다.
💡 쉬운 설명
웹사이트가 브라우저에게 전달해야 하는 중요한 보안 규칙들이 빠져 있는 상태입니다. 이로 인해 해커가 사용자의 정보를 훔치거나 가짜 화면을 보여주는 공격을 시도하기 쉬워집니다.
🇺🇸 원문 (English)
Legality WHISTLEBLOWING by DigitalPA contains a protection mechanism failure in which critical HTTP security headers are not emitted by default. Affected deployments omit Content-Security-Policy, Referrer-Policy, Permissions-Policy, Cross-Origin-Embedder-Policy, Cross-Origin-Opener-Policy, and Cross-Origin-Resource-Policy (with CSP delivered via HTML meta elements being inadequate). The absence of these headers weakens browser-side defenses and increases exposure to client-side attacks such as cross-site scripting, clickjacking, referer leakage, and cross-origin data disclosure.
📍 영향받는 시스템
DigitalPA의 Legality WHISTLEBLOWING 배포 환경
⚔️ 공격 벡터
보안 헤더 부재를 악용한 클라이언트 측 공격 (XSS, Clickjacking, Referrer Leakage 등)
🛡️ 대응 방법
Content-Security-Policy, Referrer-Policy 등 누락된 HTTP 보안 헤더를 서버 설정에 추가하여 적용
🔧 검증 코드
명령어 실행 결과에 주요 보안 헤더(CSP, Referrer-Policy 등)가 포함되어 있는지 확인
curl -I https://[target-domain] | grep -Ei 'Content-Security-Policy|Referrer-Policy|Permissions-Policy|Cross-Origin'