🇰🇷 한글 설명
웹 서버가 클라이언트 애플리케이션에 응답을 보낼 때 일부 HTTP 보안 헤더를 적절하게 설정하지 않는 취약점입니다. 이로 인해 보안 정책이 누락되어 웹 브라우저의 보안 기능이 약화될 수 있습니다.
💡 쉬운 설명
웹사이트가 브라우저에게 전달해야 하는 '보안 지침서'를 제대로 전달하지 않는 문제입니다. 이로 인해 해커가 사용자의 정보를 가로채거나 가짜 사이트로 유도하기 쉬워집니다.
🇺🇸 원문 (English)
Some HTTP security headers are not properly set by the web server when sending responses to the client application.
📍 영향받는 시스템
HTTP 보안 헤더 설정이 미비한 웹 서버 소프트웨어 및 관련 구성 환경
⚔️ 공격 벡터
보안 헤더 부재를 악용한 XSS, 클릭재킹(Clickjacking) 또는 데이터 탈취 공격
🛡️ 대응 방법
웹 서버 설정 파일에서 Strict-Transport-Security, X-Content-Type-Options, Content-Security-Policy 등 필수 보안 헤더를 명시적으로 설정
🔧 검증 코드
명령어 실행 결과로 주요 보안 헤더 이름과 설정값이 출력되어야 하며, 아무것도 출력되지 않으면 취약한 상태입니다.
curl -I http://localhost | grep -Ei 'Strict-Transport-Security|X-Content-Type-Options|Content-Security-Policy'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server