🇰🇷 한글 설명
Arcserve Unified Data Protection (UDP) 웹 인터페이스에서 사용자 입력값이 적절히 검증되지 않아 발생하는 반사형 XSS 취약점입니다. 권한이 낮은 원격 공격자가 악성 링크를 통해 사용자의 브라우저에서 임의의 자바스크립트를 실행할 수 있으며, 이를 통해 세션 탈취나 자격 증명 도난이 발생할 수 있습니다.
💡 쉬운 설명
공격자가 만든 가짜 링크를 사용자가 클릭하면, 사용자의 웹 브라우저에서 몰래 악성 코드가 실행되는 보안 약점입니다. 이를 통해 해커가 사용자의 로그인 정보를 훔치거나 계정을 가로챌 위험이 있습니다.
🇺🇸 원문 (English)
A reflected cross-site scripting (XSS) vulnerability exists in the web interface of the Arcserve Unified Data Protection (UDP), where unsanitized user input is improperly reflected in HTTP responses. This flaw allows remote attackers with low privileges to craft malicious links that, when visited by another user, execute arbitrary JavaScript in the victim’s browser. Successful exploitation may lead to session hijacking, credential theft, or other client-side impacts. The vulnerability requires user interaction and occurs within a shared browser context. This vulnerability affects all UDP versions prior to 10.2. UDP 10.2 includes the necessary patches and requires no action. Versions 8.0 through 10.1 are supported and require either patch application or upgrade to 10.2. Versions 7.x and earlier are unsupported or out of maintenance and must be upgraded to 10.2 to remediate the issue.
📍 영향받는 시스템
Arcserve UDP 10.2 미만 모든 버전 (8.0~10.1은 패치 필요, 7.x 이하는 업그레이드 권장)
⚔️ 공격 벡터
낮은 권한을 가진 공격자가 조작된 URL 링크를 사용자에게 클릭하도록 유도하는 방식
🛡️ 대응 방법
UDP 버전을 10.2 이상으로 업그레이드하거나, 지원되는 버전(8.0~10.1)의 경우 최신 보안 패치를 적용하십시오.
🔧 검증 코드
명령어 결과에 '10.2'가 포함되어 있으면 취약점이 해결된 상태이며, 그렇지 않으면 패치가 필요합니다.
curl -s http://<UDP_IP>:<PORT>/api/version | grep -E '10.2'