🇰🇷 한글 설명
HCL iControl에서 상세한 클라이언트 측 API 오류 메시지를 통해 정보가 노출되는 취약점이 발견되었습니다. 이 취약점은 애플리케이션이 일반적인 오류 메시지 대신 서버/API의 원시 오류 메시지를 사용자에게 그대로 표시하여 내부 엔드포인트 이름, 요청 매개변수, 오류 코드 및 인증 상태를 노출합니다.
💡 쉬운 설명
프로그램 오류가 발생했을 때 시스템의 내부 정보가 담긴 메시지가 사용자 화면에 그대로 나타나는 문제입니다. 공격자는 이 정보를 통해 시스템의 구조나 보안 상태를 파악할 수 있습니다.
🇺🇸 원문 (English)
HCL iControl was affected by Information Exposure Through Verbose Client-Side API Error Messages vulnerabilities. It involves application displays raw server/API error messages to users instead of generic error messages and exposes internal endpoint names, request parameters, error codes, and authentication status
📍 영향받는 시스템
HCL iControl (버전 미지정)
⚔️ 공격 벡터
API 호출 시 의도적으로 오류를 유발하여 상세한 에러 메시지를 탈취하는 방식
🛡️ 대응 방법
상세한 시스템 정보를 포함한 원시 에러 메시지 대신 사용자에게는 일반적인 오류 메시지만 표시하도록 설정 변경
🔧 검증 코드
API 호출 결과 응답 본문이나 헤더에 시스템 내부 경로, 파라미터, 혹은 상세한 스택 트레이스가 포함되어 있는지 확인합니다.
curl -s -i http://<target-ip>/api/endpoint | grep -E 'error|stacktrace|internal'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server