Wins blog

글로벌 정보보안 파트너! Global Security No.1 윈스는 국가대표 정보보안 기업에서 글로벌 강소기업으로 도약합니다.

보안 정보

앞 내용 보기 다음 내용 보기
취약점 정보[CVE-2020-9467] Piwigo setInfo XSS 취약점
작성일 2020-10-30 조회 66

 
 
Piwigo에 XSS(Cross Site Scripting) 취약점이 존재합니다.
 
Piwigo는 사진 및 기타 미디어를 관리하는 오픈소스 웹 애플리케이션 입니다..
 
해당 취약점은 ws.php의 pwg.images.setInfo 함수의 file 매개변수 값을 제대로 검증하지 못하여 발생합니다.
 
공격 성공 시, 공격자는 악의적으로 조작된 요청을 보내 임의의 코드를 실행시킬 수 있습니다.

 

 

 

취약점 설명

 

NVD - CVE-2020-9467

CVSS v2.0 Severity and Metrics:

Base Score: 3.5 LOW

 

 

[그림1. NVD 내역]

 

 

 

취약점 분석

 

취약한 버전과 패치 버전을 비교하여 취약점 수정 내역에 대해 확인이 가능합니다.

 

Piwigo 2.10.1 이후 버전부터는 XSS 공격을 방지하기 위해 pwg.images.php에 HTML 태그를 제거하는 코드를 추가하여 취약점을 해결하였습니다.

 

[그림2. pwg.images.php 패치 내역]

 

 

 

 

공격 분석 및 테스트

 

CVE-2020-9467에 대한 공격 패킷은 다음과 같습니다.

 

file 매개변수에 악의적인 스크립트를 삽입하여 공격 할 수 있습니다.

 

[그림3. 공격 패킷]

 

 

 


취약점 대응 방안

 

1. 최신 버전 사용

 

해당 벤더사에서 발표한 보안 권고문을 참고하여 패치를 적용합니다.

https://piwigo.org/release-2.10.2

 

2. WINS Sniper 제품군 대응 방안

 

Piwigo setInfo XSS
 
첨부파일 첨부파일이 없습니다.
태그 CVE-2020-9467  Piwigo