🇰🇷 한글 설명
Rucio 소프트웨어 프레임워크의 WebUI 내 Identity Name 필드에서 저장형 XSS 취약점이 발견되었습니다. 공격자가 입력한 악성 스크립트가 백엔드에 저장된 후 적절한 인코딩 없이 WebUI에 렌더링되어, 사용자의 세션 토큰 탈취나 권한 없는 동작을 수행할 수 있습니다.
💡 쉬운 설명
사용자 이름 입력란에 악성 코드를 몰래 심어두면, 다른 관리자가 해당 페이지를 볼 때 해커의 명령이 실행될 수 있는 보안 약점입니다. 이를 통해 해커가 관리자의 로그인 정보를 훔치거나 시스템을 조작할 위험이 있습니다.
🇺🇸 원문 (English)
Rucio is a software framework that provides functionality to organize, manage, and access large volumes of scientific data using customizable policies. Versions prior to 35.8.3, 38.5.4, and 39.3.1 have a stored Cross-Site Scripting (XSS) vulnerability in the Identity Name of the WebUI where attacker-controlled input is persisted by the backend and later rendered in the WebUI without proper output encoding. This allows arbitrary JavaScript execution in the context of the WebUI for users who view affected pages, potentially enabling session token theft or unauthorized actions. Versions 35.8.3, 38.5.4, and 39.3.1 fix the issue.
📍 영향받는 시스템
Rucio versions prior to 35.8.3, 38.5.4, and 39.3.1
⚔️ 공격 벡터
공격자가 Identity Name 필드에 악성 스크립트를 입력하여 저장한 후, 피해자가 해당 페이지를 조회하도록 유도
🛡️ 대응 방법
Rucio를 버전 35.8.3, 38.5.4 또는 39.3.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 35.8.3, 38.5.4, 39.3.1 중 하나와 같거나 그보다 높은지 확인하십시오.
pip show rucio | grep Version
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access