| 취약점ID |
21334 |
| 위험도 |
30 |
| 포트 |
80, ... |
| 프로토콜 |
TCP |
| 분류 |
CGI |
| 상세설명 |
해당 웹 서버 상의 IMP 버전에 따르면, IMP 소프트웨어는 HTML+TIME 모듈 상의 Cross-Site Scripting 취약점을 가지고 있다. HTML+TIME(SMIL 기반)라고 불리는 인터넷 익스플로러 기술은 HTML 페이지에 타이밍과 미디어 동기화 지원 기능을 추가하기 위한 방법이다. IMP 버전 3.2.4 또는 그 이전 버전들에는 이 HTML+TIME 모듈 상의 부적절한 필터링으로 인하여, 공격자들이 E-Mail 상에 악의적인 HTML이나 스크립트 코드를 삽입하도록 허용하는 취약점이 존재한다. 공격자들은 이 취약점을 성공적으로 도용하여, E-Mail이 열릴 때, 다른 IMP 사용자의 웹 브라우저를 통해 임의의 HTML과 스크립트 코드들이 실행되도록 할 수 있다.
* 알림: 이 점검항목은 이 취약점을 점검하기 위해 해당 원격지 웹 서버 상의 IMP 버전 정보만을 확인한다. 따라서 거짓 양성반응(False Positive)을 보일 수 있다.
* 참고 사이트:
http://www.greymagic.com/security/advisories/gm005-mc/
http://www.osvdb.org/show/osvdb/8293
* 영향을 받는 플랫폼:
Horde IMP 3.0
Horde IMP 3.1, 3.1.2
Horde IMP 3.2, 3.2.1, 3.2.2, 3.2.3, 3.2.4
Linux Any version
Unix Any version |
| 해결책 |
다음 Horde 다운로드 사이트로부터 IMP의 가장 최신 버전(3.2.5 혹은 이후)을 구하여 업그레이드 하여야 한다:
http://ftp.horde.org/pub/imp/ |
| 관련 URL |
CVE-2004-1443 (CVE) |
| 관련 URL |
10845 (SecurityFocus) |
| 관련 URL |
16866 (ISS) |
|
