🇰🇷 한글 설명
wrensec-commons의 CREST 프레임워크 HTTP 바인딩에 반사형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. HttpUtils.prepareResponse() 메서드가 요청 파라미터 _mimeType을 적절한 검증 없이 Content-Type 응답 헤더 설정에 사용합니다. 공격자가 _mimeType=text/html을 포함한 GET 요청을 보내면 CREST의 JSON 응답이 HTML로 해석되어 피해자 브라우저에서 임의의 JavaScript가 실행될 수 있습니다. 22.6.2 및 23.0.0 버전에서 수정되었습니다.
💡 쉬운 설명
공격자가 만든 특수 링크를 클릭하면 웹 페이지의 응답이 악성 웹 페이지처럼 바뀌어 브라우저에서 악성 코드가 실행될 수 있습니다. 사용자가 링크를 클릭하는 것만으로도 공격이 성립할 수 있습니다.
🇺🇸 원문 (English)
wrensec-commons contains a reflected cross-site scripting (XSS) vulnerability in the CREST framework's HTTP binding. The HttpUtils.prepareResponse() method used the _mimeType request parameter to set the Content-Type response header without proper sanitization. By sending a GET request with _mimeType=text/html, an attacker could cause the browser to interpret a CREST JSON response as HTML, enabling execution of arbitrary JavaScript in the victim's browser. The vulnerability is exploitable by tricking a user into visiting a crafted URL targeting any deployed CREST endpoint. The issue is fixed in versions 22.6.2 and 23.0.0.
📍 영향받는 시스템
wrensec-commons CREST 프레임워크 22.6.2 미만 및 23.0.0 미만 버전을 사용하는 모든 CREST 엔드포인트
⚔️ 공격 벡터
공격자가 _mimeType=text/html 파라미터를 포함한 악성 URL을 만들어 사용자가 방문하도록 유도
🛡️ 대응 방법
CREST 프레임워크를 22.6.2 이상 또는 23.0.0 이상으로 업데이트
🔧 검증 코드
출력된 Implementation-Version이 22.6.2 또는 23.0.0 이상이면 패치된 버전이고, 그보다 낮거나 결과가 없으면 취약 가능성이 있으므로 설치 여부와 버전을 추가 확인해야 합니다.
find / -name '*crest*.jar' 2>/dev/null | xargs -I{} unzip -p {} META-INF/MANIFEST.MF 2>/dev/null | grep -i 'Implementation-Version'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
삼성전자 제품 보안 업데이트 권고
P4
📅 2026-06-02 · sec_notice
삼성전자 갤럭시 모바일 기기에서 원격 코드 실행, 권한 상승, 정보 노출을 유발할 수 있는 다수의 보안 취약점이 발견되었습니다. Android 14, 15, 16 버전을 사용하는 삼성 갤럭시 사용자 및 Exynos 탑재 기기 사용자는 보안 업데이트를 통해 최신 버전(SMR Jun-2026 Release 1 이상)으로 즉시 업데이트해야 합니다.