◈ 제목
IE 기반의 웹메일 서비스의 Cross Site scripting 취약점
◈ 해당시스템
Microsoft Internet Explorer 5.0 이상
◈ 설명
HTML+TIME(Timed Interactive Multimedia Extensions)은 음악, 동영상등을 HTML 페이지의 타이밍에 동기화 시키는 기술이다.
손쉽게 멀티미디어파일을 생성하고 활용할 수 있도록 Internet Explorer 5.0 버전부터 탑재되었다.
HTML+TIME 모듈이 실행되기 위해서는 namespace를 선언하고, namespace와 HTML+TIME 실행요소가 바인딩 되어 있어야 한다.
◈ 영향
IE 기반의 웹 메일 서비스 제공자가 Cross Site scripting 취약점을 해결하지 않는 채로 서비스를 할 경우, IE 5.0 이후의 버전 사용자가 웹 메일의 메시지를 열면 악성스크립트가 실행될 수 있다.
악성스크립트는 개인정보 유출이나 메일의 유포 등에 악용될 수 있다.
◈ 해결책
현재까지 MS에서 패치가 배포되지 않은 상황으로, 웹 메일 사용자들은 모르는 사람에게서 온 메일을 읽지 말고 삭제하여야 한다.
또한 웹 메일 서버관리자들은 위의 조건에 해당되는 태그를 이용한 악성 스크립트의 실행을 막을 수 있도록 적적하게 필터링을 설정하여야한다.
◈ 참조 사이트
cnet
http://news.com.com/2100-7349_3-5178155.html?tag=prtntfr
greymagic
http://www.greymagic.com/security/advisories/gm005-mc/
국가사이버안전센터
http://www.ncsc.go.kr/service/security/WSWeakList.jsp
securityfocus
http://www.securityfocus.com/news/8306
