🇰🇷 한글 설명
Alosuite 웹 애플리케이션의 로그인 인터페이스에 클릭재킹 취약점이 존재합니다. X-Frame-Options 헤더나 Content-Security-Policy(frame-ancestors) 지시어가 구현되지 않아 공격자가 제어하는 웹페이지에 삽입될 수 있습니다. 피해자가 악성 웹페이지와 상호작용하도록 유도하면, 프레임 내 Alosuite 애플리케이션에서 원치 않는 동작이 발생하여 사용자 상호작용의 무결성이 훼손되고 인증된 사용자에 대한 추가 공격이 가능해질 수 있습니다.
💡 쉬운 설명
공격자가 만든 가짜 웹페이지 안에 Alosuite 로그인 화면을 몰래 겹쳐 놓을 수 있습니다. 사용자가 보이지 않는 버튼을 누르게 되어 의도하지 않은 작업이 실행될 수 있습니다.
🇺🇸 원문 (English)
Clickjacking vulnerability in the Alosuite web application. The affected login interface can be embedded in a web page controlled by an attacker because it does not implement adequate user interface protection mechanisms, such as the X-Frame-Options header or an appropriate Content-Security-Policy (frame-ancestors) directive. By tricking a victim into interacting with a malicious web page, an attacker can trigger unwanted actions within the Alosuite application embedded in the frame, which could compromise the integrity of user interactions and facilitate further attacks against authenticated users.
📍 영향받는 시스템
Alosuite 웹 애플리케이션 (영향받는 정확한 버전 정보 미확인)
⚔️ 공격 벡터
공격자가 악성 웹페이지에 Alosuite 로그인 화면을 iframe으로 삽입하고, 사용자가 클릭하도록 유도하여 의도하지 않은 동작을 수행
🛡️ 대응 방법
응답 헤더에 X-Frame-Options: DENY 또는 SAMEORIGIN을 설정하고, Content-Security-Policy: frame-ancestors 'self' 지시어를 적용
🔧 검증 코드
출력에 X-Frame-Options 헤더 또는 CSP frame-ancestors 지시어가 없으면 취약한 상태이며, 값이 DENY/SAMEORIGIN 또는 frame-ancestors 'self'/'none'으로 설정되어 있으면 보호된 상태입니다.
curl -sI https://TARGET_HOST/login | grep -iE 'x-frame-options|content-security-policy'