🇰🇷 한글 설명
VertiGIS FM 솔루션의 대시보드 검색 기능에 반사형 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 공격자가 악성 URL을 만들어 인증된 피해자가 방문하면, 피해자의 컨텍스트에서 임의의 자바스크립트가 실행될 수 있습니다. 이 URL은 링크 전송이나 공격자가 만든 페이지 방문 유도 등 다양한 방법으로 전달될 수 있습니다.
💡 쉬운 설명
공격자가 만든 특수한 링크를 로그인된 사용자가 클릭하면, 공격자가 심어놓은 악성 스크립트가 사용자 권한으로 실행될 수 있습니다. 이를 통해 세션 정보 탈취나 화면 조작 같은 피해가 발생할 수 있습니다.
🇺🇸 원문 (English)
A reflected cross-site scripting (XSS) vulnerability in the dashboard search functionality of the VertiGIS FM solution allows attackers to craft a malicious URL, that if visited by an authenticated victim, will execute arbitrary JavaScript in the victim's context. Such a URL could be delivered through various means, for instance, by sending a link or by tricking victims to visit a page crafted by the attacker.
📍 영향받는 시스템
VertiGIS FM 솔루션의 대시보드 검색 기능이 포함된 버전 (정확한 영향 버전은 벤더 보안 공지 확인 필요)
⚔️ 공격 벡터
공격자가 조작된 URL을 이메일이나 메신저로 전달하거나 악성 페이지로 유도하여 인증된 사용자가 방문하도록 만듦
🛡️ 대응 방법
VertiGIS에서 제공하는 최신 보안 패치를 즉시 적용하고, 검색 입력값에 대한 출력 인코딩 및 입력 검증을 확인
🔧 검증 코드
출력된 버전 정보를 VertiGIS 보안 공지의 영향 버전 목록과 대조하여, 해당 버전이면 패치가 필요하고 패치된 최신 버전이면 취약하지 않은 것으로 판단
grep -ri 'vertigis' /opt /var/www /usr/local 2>/dev/null | grep -i 'version' | head -20