🇰🇷 한글 설명
Slovensko.Digital Autogram의 XMLUtils.java에서 발생하는 XML 외부 엔티티(XXE) 참조 제한 미흡 취약점입니다. 원격의 인증되지 않은 공격자가 SSRF(서버 측 요청 위조) 공격을 수행하여 로컬 파일 시스템에 대한 무단 접근을 획득할 수 있습니다. 공격 성공을 위해서는 피해자가 특수하게 제작된 XML 문서를 포함한 요청을 /sign 엔드포인트로 전송하는 웹사이트를 방문해야 합니다.
💡 쉬운 설명
웹사이트가 XML 데이터를 처리할 때 보안 검사를 제대로 하지 않아 발생하는 문제입니다. 공격자가 조작된 파일을 보내면 서버 내부의 중요한 파일을 몰래 읽거나 다른 서버에 가짜 요청을 보낼 수 있습니다.
🇺🇸 원문 (English)
Improper Restriction of XML External Entity Reference vulnerability in XMLUtils.java in Slovensko.Digital Autogram allows remote unauthenticated attacker to conduct SSRF (Server Side Request Forgery) attacks and obtain unauthorized access to local files on filesystems running the vulnerable application. Successful exploitation requires the victim to visit a specially crafted website that sends request containing a specially crafted XML document to /sign endpoint of the local HTTP server run by the application.
📍 영향받는 시스템
Slovensko.Digital Autogram (XMLUtils.java 구성 요소 포함 버전)
⚔️ 공격 벡터
사용자가 조작된 XML 요청을 포함한 악성 웹사이트를 방문하도록 유도하여 /sign 엔드포인트로 공격 수행
🛡️ 대응 방법
XML 파서에서 외부 엔티티(DTD 및 External Entities) 참조 기능을 비활성화하고 최신 보안 패치를 적용하십시오.
🔧 검증 코드
명령어 실행 시 서버 응답에 로컬 파일 내용이나 외부 요청 관련 오류 메시지가 포함되는지 확인합니다.
curl -s -X POST -d @malicious.xml http://<target-ip>/sign | grep -E 'error|access'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server