CVE-2019-1332: Microsoft SQL Server Reporting Services의 반사형 교차 사이트 스크립팅(Reflected Cross-Site Scripting) 취약점

Microsoft SQL Server Reporting Services(SSRS)가 영향을 받는 SSRS 서버로 전송되는 특수하게 조작된 웹 요청을 제대로 삭제하지 않을 때 XSS(교차 사이트 스크립팅) 취약점이 존재합니다. 이 취약점을 성공적으로 악용한 공격자는 대상 사용자의 컨텍스트에서 스크립트를 실행할 수 있습니다. 이러한 공격을 통해 공격자는 읽을 권한이 없는 콘텐츠를 읽거나 악성 코드를 실행할 수 있으며, 피해자의 신원을 사용하여 사용자를 대신해 사이트에서 권한 변경 및 콘텐츠 삭제와 같은 작업을 수행할 수 있습니다.

참고: 이 취약점을 악용하려면 공격자는 인증된 사용자가 영향을 받는 SSRS 서버로 연결되는 특수하게 조작된 링크를 클릭하도록 유도해야 합니다.

공급업체 공개:

이 취약점에 대한 공급업체의 공개 및 수정 사항은 여기에서 확인할 수 있습니다.

요구 사항:

이 취약점은 다음을 필요로 합니다:

• 인증된 SSRS 사용자가 특수하게 조작된 링크를 클릭하도록 유도하는 것

개념 증명:

자세한 내용과 악용 절차는 이 PDF에서 확인할 수 있습니다.