🇰🇷 한글 설명
클라우드 보안 플랫폼인 Prowler의 5.37.0 미만 버전에서 HTML 출력 포맷터가 리소스 태그를 HTML 이스케이프 처리 없이 보고서에 삽입하는 취약점이 발견되었습니다. 이를 통해 클라우드 리소스 태그를 수정할 수 있는 공격자는 보고서를 열람하는 사용자에게 실행될 수 있는 악성 HTML 또는 JavaScript를 삽입할 수 있습니다.
💡 쉬운 설명
보안 보고서를 만들 때 리소스에 붙은 태그 정보를 그대로 가져오는데, 이때 나쁜 코드가 섞여 있어도 걸러내지 못하는 문제입니다. 공격자가 태그에 몰래 코드를 심어두면, 관리자가 보고서를 확인하는 순간 악성 코드가 실행될 수 있습니다.
🇺🇸 원문 (English)
Prowler is a cloud security platform. Prior to 5.37.0, Prowler's HTML output formatter in prowler/lib/outputs/html/html.py inserted finding.resource_tags, assembled by unroll_dict and parse_html_string, into generated reports without HTML escaping, allowing a cloud principal who can modify a scanned resource tag to store HTML or JavaScript that executes when another user opens the report. This issue is fixed in version 5.37.0.
📍 영향받는 시스템
Prowler version < 5.37.0
⚔️ 공격 벡터
클라우드 리소스의 태그(Tag) 값을 조작하여 악성 스크립트를 삽입한 후, 관리자가 생성된 HTML 보고서를 열람하도록 유도
🛡️ 대응 방법
Prowler를 5.37.0 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 5.37.0 미만인지 확인하여 취약 여부를 판단합니다.
prowler --version 2>/dev/null || python3 -c 'import prowler; print(prowler.__version__)' 2>/dev/null