세종 엠에스피 IDC에서 시작하세요.

세종 엠에스피 IDC

고객센터정보

네임서버

ns1.dnshost.co.kr네임서버 정보 복사

222.122.197.75네임서버 정보 복사

ns2.dnshost.co.kr네임서버 정보 복사

222.122.197.76네임서버 정보 복사

오시는길

  • >
  • 고객센터
  • >
  • 보안패치
보안공지

클립소프트 웹 리포팅 제품 REXPERT 다중 취약점 보안 업데이트 권고

페이지 정보

작성자 세종엠에스피 작성일19-10-29 16:55 조회290회

본문

 

19.10.31일(영향받는 제품 및 해결 방안 수정)


□ 개요

 o 클립소프트社는 웹 리포팅 제품 REXPERT의 다중 취약점을 해결한 보안 업데이트 발표
 o 영향 받는 버전을 사용 중인 이용자는 해결방안을 참고하여 최신버전으로 업데이트 권고

 

□ 설명 
o 세션과 관련된 웹페이지  응답 메세지에 세션 파일의 경로가 출력되어 시스템 유저명이 노출되는 취약점(CVE-2019-17321)
 o HTTP 파라미터를 조작하여 파일 저장 위치를 지정할 수 있어 임의 폴더에 파일을 생성할 수 있는 취약점(CVE-2019-17322)
 o 조작된 XML 파일로 Rexpert 뷰어의 보고서 출력 기능을 호출할 경우 임의 파일 생성 및 실행할 수 있는 취약점(CVE-2019-17323)
 o HTML 파일 저장 위치에 대한 검증이 부재하여 임의 폴더에 파일을 생성할 수 있는 취약점(CVE-2019-17324)
 o RexViewerCtrl30.ocx의 특정 메소드를 호출하여 임의 파일을 원격지 서버에 업로드할 수 있는 취약점(CVE-2019-17325)
 o HTTP GET 요청 파라미터를 조작하여 파일을 삭제할 수 있는 취약점(CVE-2019-17326)

 

□ 영향 받는 제품

제품명

버전

REXPERT1.0.0.527 이하 버전
  * CVE-2019-17321, CVE-2019-17322, CVE-2019-17324, CVE-2019-17326 취약점은 국세청 홈텍스에서 배포하는 REXPERT 제품에만 영향 받음
  * 이외 CVE-2019-17323, CVE-2019-17325 취약점은 클립소프트 REXPERT 고객사 제품에 영향받음
 

□ 해결 방안
 o CVE-2019-17321, CVE-2019-17322, CVE-2019-17324, CVE-2019-17326 취약점 해결 방안
  - 국세청 홈텍스(참고사이트 [2])에서 배포하는 취약점이 해결된(1.0.0.528 이상 버전)으로 REXPERT 파일 다운로드 및 설치

 o  CVE-2019-17323, CVE-2019-17325, 취약점 해결 방안
 - 클립소프트社를 통해 취약점이 해결된 최신 보안 패치(1.0.0.528 이상 버전) 업데이트 적용

□ 기타 문의사항
 o 클립소프트 Help Desk : 02-865-1644

 o 한국인터넷진흥원 인터넷침해대응센터: 국번없이 118


□ 참고 사이트

[1] http://clipsoft.co.kr/wp/supports/cs/ 
[2] https://www.hometax.go.kr/websquare/websquare.wq?w2xPath=/ui/pp/index_pp.xml

 

이메일주소 무단수집 거부

세종엠에스피에서는 허가되지 않은 이메일 무단 수집을 거부합니다.

본 웹사이트에 게시된 이메일 주소가 전자우편 수집 프로그램이나 그 밖의 기술적 장치를 이용하여 무단으로 수집되는 것을 거부하며, 이를 위반시 정보통신망법에 의해 형사 처벌됨을 유념하시기 바랍니다.

* 관련법령

이메일을 기술적 장치를 이용하여 무단으로 수집, 판매, 유통하거나 이를 이용하는 자는 (정보통신망 이용 촉진 및 정보보호등에 관한 법률) 제 50조의 2 규정에 의하여 1천만원 이하의 벌금형에 처해집니다.

* 정보통신망법 제 50조의 2 (전자우편주소의 무단 수집행위 등 금지)

  1. 누구든지 전자우편 주소의 수집을 거부하는 의사가 명시된 인터넷 홈페이지에서 자동으로 전자우편주소를 수집하는 프로그램 그 밖의 기술적 장치를 이용하여 전자 우편 주소를 수집하여서는 아니된다.
  2. 누구든지 제 1항의 규정을 위반하여 수집된 전자우편주소를 판매/유통하여서는 아니된다.
  3. 누구든지 제 1항 및 제 2항의 규정에 의하여 수집,판매 및 유통이 금지된 전자우편 주소임을 알고 이를 정보전송에 이용하여서는 아니된다.