🇰🇷 한글 설명
GRR은 리소스 관리 및 예약 애플리케이션입니다. 버전 4.5.0 이전에서는 설치 파일이 접근 가능한 상태로 남아 있을 때 maj.php가 forcemaj 파라미터를 적절한 이스케이프 없이 반사합니다. 공격자는 피해자가 접속하면 브라우저에서 임의의 JavaScript를 실행하는 URL을 만들 수 있으며, 인증 쿠키에 HttpOnly 속성이 없어 쿠키 탈취와 세션 하이재킹이 가능합니다. 이 문제는 4.5.0 버전에서 수정되었습니다.
💡 쉬운 설명
공격자가 만든 특수한 링크를 클릭하면 사용자의 로그인 정보가 빼앗길 수 있습니다. 설치 파일이 남아 있는 GRR 시스템이 주요 위험 대상입니다.
🇺🇸 원문 (English)
GRR is a resource management and reservation application. Prior to version 4.5.0, `maj.php` reflects the `forcemaj` parameter without adequate escaping when installation files remain accessible. Removal of these files is not automatic. An attacker can craft a URL that executes arbitrary JavaScript in a victim's browser when the victim accesses it. This reflected cross-site scripting can enable phishing, redirection to malicious sites, cookie theft and session hijacking because the authentication cookie is not `HttpOnly`. This issue is fixed in version 4.5.0.
📍 영향받는 시스템
GRR 4.5.0 미만 버전 중 설치 파일(install 관련)이 삭제되지 않은 시스템
⚔️ 공격 벡터
피해자에게 악성 URL을 전달해 클릭하도록 유도하여 forcemaj 파라미터로 스크립트를 실행하고 인증 쿠키를 탈취
🛡️ 대응 방법
GRR을 4.5.0 이상으로 업그레이드하고 설치 파일을 즉시 삭제하며 인증 쿠키에 HttpOnly 속성을 설정
🔧 검증 코드
결과에 maj.php의 forcemaj 처리 코드가 출력되면 취약 가능성이 있으므로 버전과 설치 파일 존재 여부를 추가 확인해야 하며, 결과가 없으면 해당 코드가 없는 것입니다.
grep -rn "forcemaj" /var/www/ 2>/dev/null | head -5