Wins Security Information

보안 정보

앞 내용 보기 다음 내용 보기
취약점 정보[CVE-2019-12962] LiveZilla Server XSS
작성일 2021-04-02 조회 144

LiveZilla Reviews, Pricing, Key Info and FAQs

LiveZilla Server에 XSS(Cross Site Scripting) 취약점이 존재합니다.

 

LiveZilla는 라이브 채팅 소프트웨어로, 다중 웹 사이트 지원, 방문자 모니터링, Twitter 및 Facebook의 메시지를 통합할 수 있는 기능이 포함됩니다.

 

해당 취약점은 mobile/index.php에서 Accept-Language HTTP 헤더의 값을 제대로 검사하지 않아 발생합니다. 원격의 공격자는 악의적으로 조작된 HTTP 요청을 전송하여 공격할 수 있습니다.

 

공격 성공 시, 임의의 코드가 실행될 수 있습니다.

 

 

 

취약점 설명

 

NVD - CVE-2019-12962

CVSS v2.0 Severity and Metrics:

Base Score: 4.3 MEDIUM

 

 

[그림1. NVD 내역]

 

 

 

취약점 분석

 

해당 취약점은 /mobile/index.php 경로에서 Accept-Language 헤더의 값에 임의의 코드가 삽입될 수 있습니다.

 

공격자는 Accept-Language 헤더 값에 " '; " 문자열이 포함된 HTTP 요청을 전송하여 공격할 수 있습니다.

 

취약한 버전은 8.0.1.0. 및 그 이전 버전들이며, 8.0.1.1 버전에서 패치되었습니다.

 

 

 

공격 분석 및 테스트

 

CVE-2019-12962의 공격 패킷은 다음과 같습니다.

 

 

[그림2. 취약한 부분]

 

 

또한, 해당 취약점에 대해 일주일 모니터링을 진행했으며 Accept-Language 헤더에 임의의 코드를 실행시키는 트래픽을 탐지하였습니다.

 

 

[그림3. 탐지 패킷]

 

 

 

취약점 대응 방안

 

1. 최신 버전 사용

 

해당 벤더사가 발표한 보안 권고문을 참고하여 최신의 버전으로 업데이트한다.

 

https://www.livezilla.net/downloads/en/

 

 

2. WINS Sniper 제품군 대응 방안

 

[5390] LiveZilla Server Accept-Language XSS

 
첨부파일 첨부파일이 없습니다.
태그 CVE-2019-12962  LiveZilla  XSS