| 취약점ID |
22093 |
| 위험도 |
30 |
| 포트 |
80, ... |
| 프로토콜 |
TCP |
| 분류 |
Servlet |
| 상세설명 |
해당 Java servlet container는 cross-site scripting 공격에 취약하다.
해당 Java servlet container는 서버의 웹사이트 상에 올라와 있는 사용자 입력 링크에 포함된 스크립트들을 필터하지 않는다. 악의적인 웹 관리자는 이 취약점을 이용하여 hyper-link를 클릭한 사용자가 JavaScript 명령들이나 내장된 스크립트 들이 실행되게 할 수 있다. 악의적인 hyper-link가 클릭되면, 웹서버에 대한 표준 에러 메시지가 출력되며, 동일한 브라우저를 사용중인 도메인내 서버들에 있는 임의의 코드까지 실행시킬 수 있다.
다음 두가지 조건이 충족될 때 이 문제점이 초래될 수 있다:
- 브라우저로 부터 입력된 데이타가 동적으로 생성되어 브라우저로 되보내진 HTML 페이지의 부분으로써 재사용되기 전에 적절하게 타당성 검사를 하지 않는다.
- 웹 개발자들은 동적 HTML 페이지를 생성하는 데에 사용되는 브라우저로 부터 입력된 데이타를 그대로 저장한다.
취약한 시스템들:
* Tomcat versions 3.2.1, 3.2.2-beta, 4.0-beta
* JRun versions 2.3.3 and 3.0
* WebSphere versions 3.5 FP2, 3.02 and VisualAge for Java 3.5 Professional
* Resin version 1.2.2
* 참고 사이트:
http://www.iss.net/security_center/static/6793.php
http://www.kb.cert.org/vuls/id/654643 |
| 해결책 |
Jrun:
다음 사이트로 부터 최신의 Jrun을 설치한다.
https://www.adobe.com/products/jrun/download/
WebSphere:
IBM 사이트에서 최신의 WebSphere를 설치한다.
기타 조치방법:
404 에러 페이지에서는 미리 지정해 놓은(static) 정보를 보여주도록 설정한다. |
| 관련 URL |
CVE-2001-1544 (CVE) |
| 관련 URL |
(SecurityFocus) |
| 관련 URL |
(ISS) |
|
