[KISA] 클립소프트 웹 리포팅 제품 REXPERT 다중 취약점 보안 업데이트 권고

□ 개요  o 클립소프트社는 웹 리포팅 제품 REXPERT의 다중 취약점을 해결한 보안 업데이트 발표  o 영향 받는 버전을 사용 중인 이용자는 해결방안을 참고하여 최신버전으로 업데이트 권고   □ 설명  o 세션과 관련된 웹페이지  응답 메세지에 세션 파일의 경로가 출력되어 시스템 유저명이 노출되는 취약점(CVE-2019-17321)  o HTTP 파라미터를 조작하여 파일 저장 위치를 지정할 수 있어 임의 폴더에 파일을 생성할 수 있는 취약점(CVE-2019-17322)  o 조작된 XML 파일로 Rexpert 뷰어의 보고서 출력 기능을 호출할 경우 임의 파일 생성 및 실행할 수 있는 취약점(CVE-2019-17323)  o HTML 파일 저장 위치에 대한 검증이 부재하여 임의 폴더에 파일을 생성할 수 있는 취약점(CVE-2019-17324)  o RexViewerCtrl30.ocx의 특정 메소드를 호출하여 임의 파일을 원격지 서버에 업로드할 수 있는 취약점(CVE-2019-17325)  o HTTP GET 요청 파라미터를 조작하여 파일을 삭제할 수 있는 취약점(CVE-2019-17326)   □ 영향 받는 제품   * CVE-2019-17321, CVE-2019-17322, CVE-2019-17324, CVE-2019-17326 취약점은 국세청 홈텍스에서 배포하는 REXPERT 제품에만 영향 받음   * 이외 CVE-2019-17323, CVE-2019-17325 취약점은 클립소프트 REXPERT 고객사 제품에 영향받음   □ 해결 방안  o CVE-2019-17321, CVE-2019-17322, CVE-2019-17324, CVE-2019-17326 취약점 해결 방안   - 국세청 홈텍스(참고사이트 [2])에서 배포하는 취약점이 해결된(1.0.0.528 이상 버전)으로 REXPERT 파일 다운로드 및 설치  o  CVE-2019-17323, CVE-2019-17325, 취약점 해결 방안  - 클립소프트社를 통해 취약점이 해결된 최신 보안 패치(1.0.0.528 이상 버전) 업데이트 적용 □ 기타 문의사항  o 클립소프트 Help Desk : 02-865-1644  o 한국인터넷진흥원 인터넷침해대응센터: 국번없이 118 □ 참고 사이트 [1] http://clipsoft.co.kr/wp/supports/cs/  [2] https://www.hometax.go.kr/websquare/websquare.wq?w2xPath=/ui/pp/index_pp.xml

참고 URL : https://www.krcert.or.kr/data/secNoticeView.do?bulletin_writing_sequence=35186