🇰🇷 한글 설명
Angular DevTools 1.20.0부터 1.21.1 버전 사이에서 백그라운드 서비스 워커가 메시지 출처를 적절히 검증하지 않는 취약점이 발견되었습니다. 공격자가 특정 조건에서 메시지를 보내면 Chrome DevTools Protocol을 통해 다른 탭에 디버거를 연결하고 실행을 일시 중지시킬 수 있습니다. 다만, 원격 코드 실행이나 권한 상승, 데이터 탈취로 이어지지는 않습니다.
💡 쉬운 설명
해커가 여러분의 브라우저 확장 프로그램을 속여서 현재 보고 있는 웹 페이지의 동작을 멈추게 만들 수 있는 문제입니다. 웹사이트 이용이 잠시 방해받을 수 있지만, 개인 정보가 유출되거나 컴퓨터가 해킹당하는 것은 아닙니다.
🇺🇸 원문 (English)
Angular is a development platform for building mobile and desktop web applications using TypeScript/JavaScript and other languages. From 1.20.0 until 1.21.1, the Angular DevTools background service worker accepts chrome.runtime.sendMessage runtime messages from untrusted web pages or third-party content scripts without adequately verifying the message source. An untrusted sender that obtains a valid randomized victim tabId can direct the extension to use chrome.debugger to attach to another browser tab and trigger Chrome DevTools Protocol breakpoints. This can display the debugging banner, pause JavaScript execution, and prevent interaction with the target tab, but it does not provide remote code execution, privilege escalation, or cross-origin access to memory or credentials. This issue is fixed in version 1.21.1.
📍 영향받는 시스템
Angular DevTools versions 1.20.0 through 1.21.1
⚔️ 공격 벡터
신뢰할 수 없는 웹 페이지나 제3자 스크립트가 검증되지 않은 메시지를 통해 확장 프로그램에 디버거 연결 명령을 전달
🛡️ 대응 방법
Angular DevTools를 버전 1.21.1 이상으로 업데이트하십시오.
🔧 검증 코드
확장 프로그램 목록에서 Angular DevTools의 설치 버전을 확인하여 1.21.1 미만인지 체크합니다.
chrome://extensions/ | grep -i 'Angular DevTools' || echo 'Extension not found'
💻 영향받는 소프트웨어
IBM Security Verify Access