재현 단계
이 크로스 사이트 스크립팅(XSS) 익스플로잇은 모든 공개 버전의 AngularJS에 존재합니다. 텍스트 영역을 처리할 때 페이지 캐싱에 버그가 있는 Internet Explorer 브라우저에서만 존재합니다. 악의적인 공격자는 브라우저에서 실행되는 위험한 코드를 삽입하여 데이터 또는 스크립트 기능에 액세스할 수 있습니다(공격자는 애플리케이션이나 사이트가 신뢰할 수 있는 소스에서 온 요청인 것처럼 속여서 요청을 수락하도록 합니다). 이 익스플로잇을 시연하는 개념 증명은 StackBlitz에서 확인할 수 있습니다.
문제 해결
인터넷 익스플로러 브라우저 사용자는 모든 공개 AngularJS 버전을 사용할 때 이 잠재적 익스플로잇의 벡터가 됩니다. 개발자는 코드를 이스케이프하여(아래 참조) 이러한 종류의 공격을 방지할 수 있으며, 수정이 적용된 라이브러리 버전으로 업그레이드해야 합니다.
학습 및 예방
In general, XSS exploits are best avoided by escaping content that isn’t from a trusted source. Escaping can be done by libraries that specialize in this function. Using HTML for an example, they will take a < and > code them as < and >. Performing this transformation prevents code from being executed in locations where it can cause harm.
결론
히어로데브스 고객은 버전 1.9.0이 출시되자마자 즉시 업그레이드하라는 알림을 받았습니다. 히어로데브 네버엔딩 서포트 구독을 통해 안심하고 사용하려면 지금 바로 유니티 영업팀에 문의하세요.
리소스
저희가 지원하는 오픈 소스 소프트웨어에서 새로운 취약점이 수정될 때마다 알림을 받으세요.