|
[CVE-2020-13168] SysAid accountid XSS 침해사고분석팀 2020.12.24 |
|
|
SysAid 20.1.11b26 이전 버전에 크로스 사이트 스크립트(XSS) 취약점이 존재합니다.
취약점 설명
NVD - CVE-2020-13168 CVSS v2.0 Severity and Metrics: Base Score: 4.3 MEDIUM
[그림1. NVD 내역]
취약점 분석
해당 취약점은 아래와 같은 URL 경로 및 매개변수에 취약점이 존재했습니다.
취약점을 발견한 자가 SysAid에게 연락하여 해당 취약점에 대해 보고하였습니다.
이후 ‘< (%3C)’의 필터링을 통해 해결되었지만, ‘<’ 문자가 필요하지 않은 아래와 같은 새로운 페이로드에 의해 취약점이 발생합니다.
SysAid 아직 해당 페이로드에 대한 피드백을 주지 않은 상태입니다.
현재 SysAid 20.6.64 버전까지 나온 상태로, 사용자들은 해당 최신 버전을 사용해야 합니다.
공격 분석
CVE-2020-13168의 공격 패킷은 다음과 같습니다.
'와 %2B 등을 활용해 필터링을 우회하여 스크립트를 삽입합니다.
[그림3. 공격 패킷]
취약점 대응 방안
1. 최신 버전 사용
해당 벤더사의 홈페이지를 참고하여 최신의 버전으로 업데이트 합니다.
https://www.sysaid.com/product/on-premise/latest-release
2. WINS Sniper 제품군 대응 방안
SysAid ForgotPassword.jsp accountid XSS
|
