CVE-2024-40324

설명

E-Staff v5.1의 CRLF 주입 취약점으로 인해 공격자가 입력 필드에 캐리지 리턴(CR) 및 라인 피드(LF) 문자를 삽입하여 HTTP 응답 분할 및 헤더 조작을 유발할 수 있습니다.

취약점 유형

CRLF

공급업체

E-Staff

영향을 받는 제품 코드 베이스

E-Staff 5.1

영향을 받는 구성 요소

HTTP 헤더

공격 유형

원격

영향: 코드 실행

임의의 헤더 주입, 캐시 중독, 세션 하이재킹, 크로스 사이트 스크립팅(XSS), 기타 악용으로 이어질 가능성이 있습니다.

발견자

• Aleksey Vistorobskiy

공격 벡터

공격자는 입력 필드에 CRLF 문자를 삽입하여 HTTP 헤더를 조작할 수 있습니다. 예를 들어, HTTP 헤더에 CRLF를 주입하면 HTTP 응답 분할이 발생할 수 있습니다.

스크린샷:

참조

• https://e-staff.ru/estaff_home
• https://github.com/aleksey-vi/CVE-2024-40324