it-swarm-korea.com

FCKeditor / CKeditor의 XSS 보안 문제를 해결하는 방법은 무엇입니까?

외부 회사를 통해 수행 한 보안 보고서에 따르면 FCKeditor의 XSS 취약점이 PHP 응용 프로그램에서 사용 중)보고되었습니다.

그들은 다음과 같은 URL에 액세스한다고 지적했습니다.

http://www.ourdomain.com/fckeditor/editor/filemanager/browser/mcpuk/connectors
    /php/connector.php?Command=837<script>alert(0)</script>&Type=837
    <script>alert(1)</script>&CurrentFolder=837<script>alert(2)</script>
    &ExtraParams=837<br><br><br><iframe src=http://www.google.com/ 
    height=100% width=100%></iframe>

다음과 같은 코드가 생성됩니다 (브라우저-> 소스보기에서).

Invalid command.Array<br />
(<br />
[Command] => 837<script>alert(0)</script><br />
[Type] => 837<script>alert(1)</script><br />
[CurrentFolder] => 837<script>alert(2)</script><br />
[ExtraParams] => 837<br>
<br>
<br>
<iframe src=http://www.google.com/ height=100% width=100%></iframe><br />
)<br />

나는 FCKeditor의 내부 PHP 스크립트가 무엇을하는지 그리고 그것이 시스템에 XSS 컨텐츠의 소스가 될 수 있는지 여부를 모른다. 이것이 진짜 문제입니까?

11
siliconpi

일반적으로 타사 구성 요소의 취약점에 대해 할 수있는 일은 많지 않습니다.
선택 사항 중 :

  • 최신 버전으로 업그레이드하십시오. 문제가 해결되면 완료된 것입니다.
  • 책임감있게 공급 업체에 연락하여 수정하십시오.
  • 공개 소스 인 경우 직접 패치하거나 해본 사람을 찾으십시오. XSS can을 수정하는 것은 복잡하고 혼란 스럽습니다.
  • 위의 옵션 중 어느 것도 가능하지 않은 경우 시스템에서이 구성 요소를 제거하십시오. 다른 구성 요소를 맹목적으로 복용 할 때 고정 할 수 없다면 항상 위험합니다 ...
  • 실제로, 타사 코드 before를 시스템에 통합 할 때 보안 검토를 수행하는 정책으로 만드십시오.
  • 계속해서 취약한 구성 요소를 계속 사용해야하는 경우 :)을 고려하십시오. 그러나 실제로 완료된 경우 WAF (웹 응용 프로그램 방화벽)로 보호하는 것이 좋습니다. 문제를 해결하지는 않지만 악용을 방지하는 데 도움이 될 수 있습니다 ...
12
AviD

FCKEditor는 웹 응용 프로그램을위한 플랫폼 독립적 인 텍스트 편집기입니다.

이러한 종류의 익스플로잇은 반영된 XSS 공격 벡터입니다. 이 질문에 대한 자세한 내용은 여기를 참조하십시오 : can-anybody-explain-xss .

이는 FCKEditor가 변수에 지정된 입력을 삭제하지 않기 때문에 발생하며 응용 프로그램이 변수를 사용자에게 다시 반영하도록합니다.

다음 단계를 권장합니다.

  • 최신 FCKEditor 로 업그레이드
  • 직접 패치하십시오. 그래도 문제가 해결되지 않으면 스크립트에 적절한 소독을 적용하여 직접 패치하십시오. 귀하의 경우 간단한 (int) 캐스트 로이 문제를 해결하기에 충분합니다.
  • 최대한 빨리 공급 업체 패치 요청

FCKEditor over exploit-db.com 에 대한 다른 익스플로잇 목록도 볼 수 있습니다. 응용 프로그램을 계속 패치하는 것을 잊지 마십시오!

11
Chris Dale