🇰🇷 한글 설명
MISP의 관리자 이메일 작성 화면에서 저장형 XSS 취약점이 발견되었습니다. MISP.org 조직 이름 설정값이 적절한 인코딩 없이 JavaScript 문자열 내에 직접 삽입되어, 조직 이름에 큰따옴표를 포함할 경우 임의의 스크립트를 실행할 수 있습니다. 이를 통해 인증된 사용자의 세션 탈취나 권한 도용이 가능합니다.
💡 쉬운 설명
관리자 설정 화면에 악성 코드가 포함된 이름을 입력하면, 다른 관리자가 해당 페이지를 볼 때 해커의 명령이 실행될 수 있는 보안 약점입니다. 이를 통해 해커가 관리자의 계정 권한을 가로챌 위험이 있습니다.
🇺🇸 원문 (English)
MISP contains a stored cross-site scripting (XSS) vulnerability in the admin email composition screen. The MISP.org organization name setting was interpolated directly into a JavaScript string literal using an unescaped PHP echo: var org = "<?php echo $org;?>";. Because the value was placed inside a double-quoted JavaScript string without any encoding, an organization name containing a double-quote character (or a backslash) could terminate the string literal and inject arbitrary JavaScript into the page. The injected script would execute in the context of any authenticated user who subsequently loads the admin email page, potentially allowing session hijacking, data exfiltration, or privileged actions performed on behalf of the victim.
Exploitation requires the ability to set or modify the MISP.org organization name and a second authenticated user visiting the affected admin email view.
The vulnerability is a classic instance of insufficient output encoding in a JavaScript context.
📍 영향받는 시스템
MISP (조직 이름 설정 기능이 포함된 버전)
⚔️ 공격 벡터
공격자가 조직 이름에 특수문자(큰따옴표 등)를 포함하여 저장한 후, 다른 관리자가 해당 이메일 작성 화면을 열도록 유도
🛡️ 대응 방법
PHP echo를 통한 출력 시 JavaScript 컨텍스트에 맞는 적절한 이스케이프(Escape) 처리를 적용하거나 보안 라이브러리를 사용하여 출력값 인코딩 수행
🔧 검증 코드
출력된 조직 이름 설정값에 인코딩되지 않은 큰따옴표(")나 특수 문자가 포함되어 있는지 확인
curl -s http://<MISP_IP>/api/v1/settings | grep -i 'org_name'