🇰🇷 한글 설명
Dependency-Track의 @dependencytrack/frontend에서 발생하는 HTML 삽입 취약점입니다. SYSTEM_CONFIGURATION 권한을 가진 관리자가 로그인 페이지의 환영 메시지에 적절히 검증되지 않은 HTML을 설정할 경우, 로그인 페이지를 방문하는 사용자에게 임의의 자바스크립트가 실행될 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사람이 로그인 화면에 보여줄 메시지를 설정할 때, 악성 코드를 숨겨서 넣을 수 있는 문제입니다. 이 메시지를 보는 일반 사용자의 브라우저에서 해킹 코드가 실행될 위험이 있습니다.
🇺🇸 원문 (English)
@dependencytrack/frontend is a Single Page Application (SPA) used in Dependency-Track, an open source Component Analysis platform that allows organizations to identify and reduce risk in the software supply chain. Since version 4.12.0, Dependency-Track users with the SYSTEM_CONFIGURATION permission can configure a "welcome message", which is HTML that is to be rendered on the login page for branding purposes. When rendering the welcome message, Dependency-Track versions before 4.13.6 did not properly sanitize the HTML, allowing arbitrary JavaScript to be executed. Users with the SYSTEM_CONFIGURATION permission (i.e., administrators), can exploit this weakness to execute arbitrary JavaScript for users browsing to the login page. The issue has been fixed in version 4.13.6.
📍 영향받는 시스템
Dependency-Track 4.13.6 미만 버전
⚔️ 공격 벡터
SYSTEM_CONFIGURATION 권한을 가진 관리자가 로그인 페이지의 'welcome message' 설정에 악성 HTML/JavaScript 삽입
🛡️ 대응 방법
Dependency-Track를 4.13.6 이상의 버전으로 업데이트
🔧 검증 코드
출력 결과에 4.13.6 이상의 버전 번호가 포함되어 있는지 확인하여 패치 여부를 판단합니다.
curl -s http://<target-ip>/version | grep -E '4.13.6'