보안 게시판

RoboHelp 크로스 사이트 스크립팅 문제를 해결하는 패치

출시일: 2007년 5월 8일

취약점 식별자: APSB07-10

CVE 번호: CVE-2007-1280

플랫폼: 모든 플랫폼

해당되는 소프트웨어 버전: RoboHelp 6, RoboHelp Server 6, RoboHelp X5

요약

RoboHelp 6, RoboHelp X5 또는 RoboHelp Server 6에서 생성된 파일을 대상으로 한 크로스 사이트 스크립팅 공격에 특별히 제작된 URL이 사용될 수 있습니다.

해결 방법

RoboHelp 6 및 RoboHelp X5:

Adobe에서는 RoboHelp 6 및 RoboHelp X5 사용자가 설치 방법 제목 아래에 있는 설치 지침에 따라 관련 업데이트를 적용하거나 whstart.js 파일이 이전에 수정되어 더 이상 기본 파일이 아닌 경우 아래의 지침에 따라 수동으로 설치를 업데이트할 것을 권장합니다.

참고: 항상 먼저 비 프로덕션 환경에서 변경 사항을 테스트한 후 프로덕션 환경에 변경 사항을 적용하십시오.

WebHelp 설치 방법:

업데이트 파일을 다운로드합니다. 다운로드한 파일에는 whstart.js 및 whcsh_home.htm 파일이 포함되어 있습니다.
업데이트된 whstart.js를 <installfolder>\WebHelp5Ext\template_stock에 놓고 이전 파일을 교체합니다.
업데이트된 whcsh_home.htm을 <installfolder>\WebHelp5Ext\template_csh에 놓고 이전 파일을 교체합니다.
RoboHelp를 다시 시작합니다.
RoboHelp 컨텐츠를 다시 생성합니다.
기존 컨텐츠를 새로 생성된 RoboHelp 컨텐츠로 교체합니다.

템플릿을 사용자 정의한 고객의 경우 - WebHelp 파일을 수동으로 업데이트하는 방법:

<installfolder>\WebHelp5Ext 디렉토리에서 whstart.js와 whcsh_home 파일을 찾습니다.
업데이트 파일을 다운로드하고 압축을 풉니다. 업데이트된 whstart.js와 whcsh_home.htm 파일을 찾습니다.
IsInternal() 함수 호출에서 다양한 문자열 할당이 변경되었습니다.
이러한 변경 사항을 사용자 정의된 템플릿에 있는 whstart.js 파일과 whcsh_home.htm 파일에 적용합니다.
whstart.js 및 whcsh_home.htm 파일의 새로운 IsInternal() 함수를 추가합니다.
RoboHelp를 다시 시작합니다.
템플릿에 해당 변경 사항을 적용한 다음 출력을 다시 생성합니다.

FlashHelp 또는 FlashHelp Pro 설치 방법:

업데이트 파일을 다운로드합니다. 다운로드한 파일에는 wf_startpage.js 및 wf_startqs.htm 파일이 포함되어 있습니다.
업데이트된 wf_startpage.js를 <installfolder>\RoboHTML\WildFireExt\template_stock에 놓고 이전 파일을 교체합니다.
업데이트된 wf_startqs.htm을 <installfolder>\RoboHTML\WildFireExt\template_stock에 놓고 이전 파일을 교체합니다.
RoboHelp를 다시 시작합니다.
RoboHelp 컨텐츠를 다시 생성합니다.
기존 컨텐츠를 새로 생성된 RoboHelp 컨텐츠로 교체합니다.

템플릿을 사용자 정의한 고객의 경우 - FlashHelp 또는 FlashHelp Pro 파일을 수동으로 업데이트하는 방법:

<installfolder>\RoboHTML\WildFireExt\template_stock 폴더에서 wf_startpage.js와 wf_startqs.htm 파일을 찾습니다.
업데이트 파일을 다운로드하고 압축을 풉니다. 업데이트된 wf_startpage.js와 wf_startqs.htm 파일을 찾습니다.
IsInternal() 함수 호출에서 다양한 문자열 할당이 변경되었습니다.
이러한 변경 사항을 사용자 정의된 템플릿에 있는 wf_startpage.js 파일과 wf_startqs.htm 파일에 적용합니다.
wf_startpage.js 및 wf_startqs 파일의 새로운 IsInternal() 함수를 추가합니다.
RoboHelp를 다시 시작합니다.
템플릿에 해당 변경 사항을 적용한 다음 출력을 다시 생성합니다.

RoboHelp Server 6:

Adobe에서는 RoboHelp Server 6 사용자가 아래 설치 지침에 따라 다음 업데이트를 적용할 것을 권장합니다.

업데이트 파일을 다운로드합니다. 다운로드한 파일에는 WindowManager.dll 파일이 포함되어 있습니다.
RoboHelp Server 6을 중지합니다. (참고: RoboHelp Server 6가 중지된 후에도 WindowManager.dll이 계속 사용 중인 경우 ProtocolHost.exe가 WindowManager.dll을 사용하고 있으므로 작업 관리자를 통해 ProtocolHost.exe를 종료해야 할 수도 있습니다.)
업데이트된 WindowManager.dll 파일을 RoboHelp Server 6 설치 폴더의 루트에 놓고 기존 WindowManager.dll 파일을 덮어씁니다.
RoboHelp Server 6을 다시 시작합니다.

심각도 등급

Adobe는 이 문제를 중요 문제로 분류하고 해당 사용자가 설치 파일에 패치를 적용할 것을 권장합니다.

자세한 내용

RoboHelp 6에서 생성된 파일을 대상으로 한 크로스 사이트 스크립팅 공격에 특별히 제작된 URL이 사용될 수 있습니다. 이 취약점은 원격으로 악용될 수 있습니다.

감사의 말:

이 취약점을 보고하여 Adobe 고객의 보안 유지에 도움을 주신 Devtarget.org*의 Michael Domberg씨에게 감사의 말씀을 전합니다.

Adobe 부인

사용권 계약

Adobe Systems Incorporated 또는 그 자회사(이하 "Adobe")의 소프트웨어를 사용하는 것은 다음 내용 및 조건에 동의한다는 의미입니다. 그러한 내용 및 조건에 동의하지 않는 경우 소프트웨어를 사용하지 마십시오. 소프트웨어의 설치 또는 다운로드 시 특정 소프트웨어 파일이 수반되는 최종 사용자 사용권 계약의 사용 약관은 아래 사용 약관을 대체합니다.

Adobe 소프트웨어 제품의 수출 및 재수출은 미국 수출 관리 규정에 따르며 그러한 소프트웨어는 쿠바, 이란, 이라크, 리비아, 북한, 수단 또는 시리아 및 기타 미국의 수출 금지 규정이 적용되는 국가로 수출 또는 재수출할 수 없습니다. 또한 Adobe 소프트웨어를 주문승인 거부대상 명단, 규정 명단 또는 요주의 국가 명단에 포함된 사람에게 배포할 수 없습니다.

Adobe 소프트웨어 제품을 다운로드하여 사용하는 것은 귀하가 쿠바, 이란, 이라크, 리비아, 북한, 수단 또는 시리아 및 기타 미국의 수출 금지 규정이 적용되는 국가의 국적을 갖고 있거나 주문승인 거부대상 명단, 규정 명단 또는 요주의 국가 명단에 포함된 사람이 아님을 증명하는 것을 의미합니다.

소프트웨어가 Adobe에서 게시한 애플리케이션 소프트웨어 제품(이하 "호스트 애플리케이션")과 함께 사용하도록 만들어진 경우 Adobe는 귀하가 호스트 애플리케이션에 대한 Adobe의 유효한 라이센스를 소유한 경우, 호스트 애플리케이션과 함께 사용하기 위한 목적에 한해서만 그러한 소프트웨어에 대해 비독점적인 라이센스를 부여합니다. 아래 설명된 내용 이외에 그러한 소프트웨어는 귀하의 호스트 애플리케이션 사용을 규정하는 Adobe의 최종 사용자 사용권 계약의 내용 및 조건의 적용을 받습니다.

보증의 부인: 귀하는 소프트웨어 및 소프트웨어가 어떠한 종류의 보증도 없이 "있는 그대로" 제공된다는 사실과 관련하여 귀하에게 어떠한 명시적 보증도 하지 않음에 동의합니다. Adobe는 특정 목적에의 적합성, 상업성, 상품 품질 또는 타사 권리의 비침해성에 대한 모든 묵시적 보증을 포함하여(이에 제한되지 않음) 소프트웨어에 관련된 모든 명시적 또는 묵시적 보증을 부인합니다. 일부 주 또는 관할지에서는 묵시적 보증의 배제를 허용하지 않으므로 위의 제한은 귀하에게 적용되지 않을 수 있습니다.

책임의 제한: Adobe는 어떠한 경우에도 사용 손실, 영업 중단 또는 모든 종류의 직접적, 간접적, 특수적, 우연적 또는 필연적 손해(이익 손실 포함), 불법 행위(과실 포함), 엄격한 제품 책임 또는 그 밖의 행위에 대해 계약서에 명시되었는지 여부에 관계없이 책임을 지지 않으며, 이는 Adobe가 그러한 손해의 가능성을 사전에 알고 있던 경우에도 마찬가지입니다. 일부 주 또는 관할지에서는 부수적 또는 필연적 손해의 배제 또는 제한을 허용하지 않으므로 위의 제한 또는 배제는 귀하에게 적용되지 않을 수 있습니다.