🇰🇷 한글 설명
Beghelli Sicuro24 SicuroWeb은 Content Security Policy(CSP)를 적용하지 않아, 공격자가 제어하는 외부 출처에서 JavaScript 리소스를 무제한으로 로드할 수 있습니다. 같은 애플리케이션에 존재하는 템플릿 인젝션 및 샌드박스 탈출 취약점과 결합되면, 브라우저가 외부 스크립트 실행을 차단하지 못해 운영자 브라우저 세션에 임의의 원격 페이로드가 주입될 수 있습니다.
💡 쉬운 설명
이 제품은 브라우저에게 어떤 외부 스크립트를 허용할지 알려주는 보안 정책이 없어서, 공격자가 만든 악성 코드가 관리자 화면에 들어올 수 있습니다. 다른 취약점과 함께 악용되면 관리자 세션이 탈취될 위험이 커집니다.
🇺🇸 원문 (English)
Beghelli Sicuro24 SicuroWeb does not enforce a Content Security Policy, allowing unrestricted loading of external JavaScript resources from attacker-controlled origins. When chained with the template injection and sandbox escape vulnerabilities present in the same application, the absence of CSP removes the browser-enforced restriction that would otherwise block external script execution, enabling attackers to load arbitrary remote payloads into operator browser sessions.
📍 영향받는 시스템
Beghelli Sicuro24 SicuroWeb (CSP 미적용 버전, 정확한 영향 버전은 벤더 공지 확인 필요)
⚔️ 공격 벡터
공격자가 외부 악성 스크립트 URL을 준비하고 템플릿 인젝션 및 샌드박스 탈출로 해당 스크립트를 운영자 브라우저에 로드하도록 유도
🛡️ 대응 방법
Content-Security-Policy 헤더를 설정해 신뢰할 수 있는 출처의 스크립트만 허용하고, 벤더가 제공하는 패치 또는 최신 버전으로 업데이트
🔧 검증 코드
출력에 Content-Security-Policy 헤더가 표시되면 CSP가 적용된 것이며, 'CSP header not found'가 출력되면 CSP가 미적용 상태이므로 조치가 필요합니다.
curl -sI http://localhost/ | grep -i 'content-security-policy' || echo 'CSP header not found'