🇰🇷 한글 설명
SpiderFoot가 외부 스캔 데이터(서버 배너, 메타데이터 등)를 기반으로 생성된 상관관계 제목을 HTML 이스케이프 처리하지 못하는 취약점이 발견되었습니다. 공격자는 상관관계 결과에 이벤트 핸들러가 포함된 악성 HTML 요소를 삽입할 수 있으며, 운영자가 해당 뷰를 열 때 스크립트가 실행되어 API 키를 탈취할 수 있습니다.
💡 쉬운 설명
정보 수집 도구인 SpiderFoot가 외부 데이터를 화면에 보여줄 때 보안 처리를 제대로 하지 않아 발생하는 문제입니다. 공격자가 심어놓은 악성 코드가 관리자의 브라우저에서 실행되어 중요한 비밀번호나 키를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
SpiderFoot fails to HTML-escape correlation titles built from external scan data sources including server banners and metadata. Attackers can inject malicious HTML elements with event handlers into correlation results that execute scripts in the operator's browser when the correlations view is opened, potentially stealing API keys.
📍 영향받는 시스템
SpiderFoot (HTML 이스케이프 미적용 버전)
⚔️ 공격 벡터
외부 스캔 데이터 소스에 악성 HTML/JavaScript 코드를 삽입하여 상관관계 결과 화면을 통해 공격
🛡️ 대응 방법
SpiderFoot를 최신 보안 패치가 적용된 버전으로 업데이트하고, 외부 데이터 출력 시 HTML 이스케이프 처리를 적용해야 함
🔧 검증 코드
출력된 SpiderFoot 버전을 확인하여 취약점이 해결된 최신 버전인지 확인하십시오.
pip show spiderfoot | grep -E 'Version'