🇰🇷 한글 설명
RT는 오픈소스 기업용 이슈 및 티켓 추적 시스템입니다. 6.0.0 이상 6.0.3 미만 버전에 반사형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 공격자가 인증된 RT 사용자를 조작된 URL로 유도하면 해당 사용자의 브라우저 세션에서 임의의 자바스크립트를 실행할 수 있으며, 효과적인 우회 방법은 없습니다.
💡 쉬운 설명
악성 링크를 클릭하면 RT 시스템에 로그인된 사용자의 브라우저에서 공격자가 원하는 코드가 실행될 수 있습니다. 신뢰할 수 없는 RT 링크는 열지 않는 것이 중요합니다.
🇺🇸 원문 (English)
RT is an open source, enterprise-grade issue and ticket tracking system. Versions 6.0.0 and above, prior to 6.0.3 contain a reflected Cross-Site Scripting (XSS) vulnerability. An attacker who can induce an authenticated RT user to visit a crafted URL can execute arbitrary JavaScript in that user's browser session. There are no effective workarounds. Avoid following untrusted RT URLs. This issue has been fixed in version 6.0.3.
📍 영향받는 시스템
Request Tracker(RT) 6.0.0 이상 6.0.3 미만 버전
⚔️ 공격 벡터
공격자가 조작된 URL을 만들어 인증된 RT 사용자가 클릭하도록 유도하여 브라우저에서 스크립트 실행
🛡️ 대응 방법
RT를 6.0.3 이상 버전으로 업그레이드하고, 신뢰할 수 없는 RT URL을 클릭하지 않도록 사용자에게 교육
🔧 검증 코드
출력된 버전이 6.0.3 이상이면 패치 완료, 6.0.0 이상 6.0.3 미만이면 취약한 상태이므로 즉시 업그레이드가 필요합니다.
rt --version 2>/dev/null || grep -i '^Version' /opt/rt*/lib/RT.pm 2>/dev/null || find / -name RT.pm -path '*RT*' 2>/dev/null | head -1 | xargs grep -i 'VERSION' 2>/dev/null