MikroTik 핫스팟 로그인 페이지 반사형 XSS 취약점 권고

개요

MikroTik RouterOS 핫스팟 로그인 페이지에서 반사형 XSS(Cross-Site Scripting) 취약점이 발견되었습니다. 이 취약점은 dst URL 매개변수를 통해 트리거되며, 입력값이 제대로 삭제(sanitize)되지 않아 피해자 브라우저에서 악성 JavaScript 코드가 실행될 수 있습니다.

영향을 받는 제품

• MikroTik RouterOS 핫스팟 로그인 페이지
• 7.20 미만 버전

취약점 세부 정보

• 공격자가 다음과 같은 URL을 조작하면 취약점이 발생합니다:

http://target-ip/login?dst=javascript:alert(3)

• 사용자가 이 URL을 방문하면 응답에 JavaScript가 반사되어 브라우저에서 스크립트가 실행됩니다.

영향

이 취약점으로 인해 세션 하이재킹, 피싱 공격 또는 악성 웹사이트로의 사용자 리디렉션이 발생할 수 있으며, 핫스팟 로그인 페이지를 사용하는 사용자의 보안이 손상될 수 있습니다.

공격 경로

• 조작된 URL을 방문하도록 사용자 상호작용이 필요합니다.
• 공격자는 피해자에게 악성 링크를 전달할 수 있어야 합니다(피싱 또는 사회공학 기법을 통해).
• 피해자는 취약한 MikroTik Router에서 핫스팟 로그인 페이지에 접속해야 합니다.

권장 사항