🇰🇷 한글 설명
QGIS Server의 WFS3(OGC API Features) HTML 응답 생성 과정에서 HTML 이스케이프 처리가 누락된 취약점입니다. 공격자가 제어 가능한 벡터 레이어의 속성값을 통해 저장형 XSS 공격을 수행할 수 있으며, 이를 통해 사용자의 세션 데이터를 탈취하거나 권한을 도용할 수 있습니다.
💡 쉬운 설명
지도 데이터를 보여주는 서버가 특수 문자를 제대로 걸러내지 못해 발생하는 보안 문제입니다. 악성 코드가 담긴 지도를 열람하면 해커가 사용자의 정보를 훔치거나 대신 명령을 내릴 수 있습니다.
🇺🇸 원문 (English)
QGIS is a free, open source, cross-platform geographic information system. Prior to 3.44.12 and 4.0.0 through 4.2.3, QGIS Server renders feature data in WFS3 (OGC API Features) HTML responses without HTML escaping. Attacker-controlled feature.properties values from a published writable vector layer reach resources/server/api/ogc/templates/wfs3/getFeatures.html through QgsServerOgcApiHandler::htmlDump and the if_nullptr_null_str callback. A user who opens an items HTML page can execute stored markup or script in the QGIS Server origin, which can expose the viewer's session data or issue authenticated requests with the viewer's privileges. This issue is fixed in version 3.44.12.
📍 영향받는 시스템
QGIS Server 3.44.12 미만 버전 및 4.0.0 ~ 4.2.3 버전
⚔️ 공격 벡터
공격자가 조작한 속성값이 포함된 벡터 레이어를 게시하고, 사용자가 해당 HTML 응답 페이지를 열람하도록 유도
🛡️ 대응 방법
QGIS Server를 최신 보안 패치가 적용된 버전(3.44.12 이상)으로 업데이트
🔧 검증 코드
출력된 버전이 3.44.12 미만이거나 4.0.0~4.2.3 범위에 해당하면 취약한 상태입니다.
qgis_server --version 2>/dev/null || dpkg -l | grep qgis-server