🇰🇷 한글 설명
Summarize 0.15.1 미만 버전의 hover summary 기능에서 취약점이 발견되었습니다. 공격자가 제어하는 링크에 가짜 마우스오버 이벤트를 발생시켜, 확장 프로그램이 저장된 토큰을 사용해 인증된 데몬 요청을 검증 없이 수행하게 만듭니다. 이를 통해 공격자는 사용자가 악성 콘텐츠와 상호작용할 때 내부 네트워크의 민감한 엔드포인트에 접근할 수 있습니다.
💡 쉬운 설명
웹사이트의 특정 링크에 마우스를 올리기만 해도, 브라우저 확장 프로그램이 몰래 내부 네트워크에 중요한 정보를 요청하게 만드는 보안 결함입니다. 사용자가 의도하지 않은 동작을 통해 개인 정보나 내부 시스템 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Summarize prior to 0.15.1 contains a vulnerability in the hover summary feature that allows malicious pages to dispatch synthetic mouseover events over attacker-controlled links, causing the extension to make authenticated daemon requests using stored tokens without verifying event trustworthiness. Attackers can place local or private-network URLs behind hoverable links to route authenticated requests through the daemon, potentially accessing sensitive internal endpoints when users interact with attacker-controlled content.
📍 영향받는 시스템
Summarize extension versions prior to 0.15.1
⚔️ 공격 벡터
악성 페이지 내의 링크에 가짜 마우스오버 이벤트를 발생시켜 인증된 데몬 요청을 유도하는 방식
🛡️ 대응 방법
Summarize 확장 프로그램을 0.15.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
확장 프로그램 목록에서 Summarize의 설치 버전을 확인하여 0.15.1 미만인지 체크합니다.
chrome://extensions/ | grep -i 'Summarize' || echo 'Extension not found'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access