CVE-2023-4357-악용

네트워크 보안 프로젝트

설명

Google Chrome 116.0.5845.96 이전 버전에서 XML 내 신뢰할 수 없는 입력에 대한 검증이 불충분하여, 원격 공격자가 조작된 HTML 페이지를 통해 파일 접근 제한을 우회할 수 있었습니다.

재현

환경 설정

• Linux에서 Chrome 다운로드

$ wget https://edgedl.me.gvt1.com/edgedl/chrome/chrome-for-testing/114.0.5735.90/linux64/chrome-linux64.zip

$ unzip chrome-linux64.zip

• 실행

$ ./chrome-linux64/chrome --no-sandbox

웹 서버 시작

• 취약점을 악용할 SVG 파일 준비
• HTTP 서버를 시작하기 위한 bash 스크립트 준비
• 스크립트 실행

$ chmod +x start_server.sh

$ ./start_server.sh

브라우저 접속