AD

프로그램 17:18 수정) 아프리카도우미 사용중이시라면 필독

라스트오더
2022-06-04 11:36:35 4786 9 19

( 17:18 금지어 src 추가 - 스크립트는 막아져도 여전히 채팅창에 야짤등 강제로 삽입할수 있는 방법이 발견되었습니다)

(6월 7일 기준 여전히 미처리 상태. 보안 관련 패치마저 확인이 늦어지는 사이트 사용은 권장하지 않습니다.)

1. (강추) 아프리카도우미 문제점 패치 전까지 사용 중단

2. (불가능하다면) onerror, src 채팅 금지어 등록(트위치 금지어만 효과적이며 나봇 싹뚝이 금지어 추가는 무의미)

3. 참고로 이미 알려진 getScript 금지어처리는 완벽한 해결법이 아닙니다.


이하 내용은 기술적인 설명이니 모르시면 넘기셔도 됩니다.(지금당장은 onerror 금지어 추가만으로 충분합니다)


아프리카도우미 태그 필터링 시스템의 문제로 <가 두번 이상 올경우 제대로 걸러지지 않으며 src=는 삭제하나 src 는 그대로 두고 있으며 onerror 등 이벤트 핸들러 역시 제대로 삭제하지 않습니다. 따라서 src가 비었음->이미지 로드 실패->onerror 이벤트 실행의 순서로 임의의 스크립트가 실행 가능해집니다.


해당 취약점은 이미 제보했으나 취약점이 이미 타 블로그에 공개되었으며 악용 사례도 존재하여 부득이하게 관련 정보를 공개하는점 양해 부탁드립니다.


이하 취약점 체크 화면입니다.
4bba80f58c3f9b111ec30739de95afb8.png

임의 스크립트 실행


574f65716d1a9e097060ac82907d8cad.png

임의 이미지 삽입


482b3d775e7c746ff614ddae21a26636.png

임의 동영상 

참고로 소리가 있어도 자동재생 반복 다 됩니다. 정말 심각합니다.

참고 클립 : https://clips.twitch.tv/EnergeticExquisiteBaboonDxAbomb-VfHybxXiJcinMttn (클래식이지만 소리가 들어가 있어 링크처리합니다)

댓글 19개  
이전 댓글 더 보기
AD
방송하기프로그램채팅/봇업데이트
1
업데이트
트위치 애플페이 결제
세젤귀햄찌
08-16
3
08-10
3
08-03
1
프로그램
프로그램 아이콘 정리
사랑의음악
07-31
6
채팅/봇
방송알리미 Twitch 봇 인증
네오캣짱
07-30
9
07-29
6
업데이트
NVIDIA GeForce Hotfix v516.79 Driver [3]
로즈우
07-17
11
프로그램
트윕 돌림판 기능 [3]
Twipkr
06-25
11
06-21
7
06-11
3
06-03
2
방송하기
트위치 느리지 않게 드가기 [2]
사랑의음악
05-21
4
채팅/봇
방송알리미 설정 방법 [3]
네오캣짱
05-15
0
05-11
인기글 글 쓰기