| 취약점ID |
21283 |
| 위험도 |
30 |
| 포트 |
80, ... |
| 프로토콜 |
TCP |
| 분류 |
CGI |
| 상세설명 |
해당 웹 서버 상의 phpGedView 프로그램은 원격지 공격자들이 서버 상의 임의의 파일을 읽을 수 있도록 허용한다.
phpGedView 는 가계 또는 혈통 정보를 보여주기 위해 무료로 사용할 수 있는 웹 기반의 프로그램이다. 이 프로그램의 버전 2.65.1과 그 이전 버전들에는 파일 노출 취약점이 존재하는 데, 이는 'editconfig_gedcom.php' 스크립트의 'gedcom_config' 파라미터를 통해 입력되는 사용자 정보를 올바르게 필터링하지 못하는 데 그 원인이 있다. 원격지 공격자들은 다음과 같이 gedcom_config 파라미터에 dot dot (..) 시퀀스를 사용하는 방법으로, 취약한 시스템 상의 읽기 가능한 임의의 파일을 읽어 낼 수 있다:
http://[target]/[phpGedView_Dir]/editconfig_gedcom.php?gedcom_config=../../../../../../../../../../etc/passwd
이 취약점은 공격자들이 시스템 상의 중요한 정보를 획득할 수 있는 가능성을 제공하게 된다.
* 참고 사이트:
http://www.securityfocus.com/archive/1/352355
* 영향을 받는 플랫폼:
phpGedView 버전 2.65.1와 그 이전 버전들 |
| 해결책 |
다음의 phpGedView 웹 페이지를 참조하여 문제가 해결된 phpGedView 2.65.2 이상의 버전으로 업그레이드 하여야 한다. 현재 가장 최신 버전인 phpGedView 2.65.3 이 2004년 2월 3일에 릴리즈(released)되었다:
http://phpgedview.sourceforge.net |
| 관련 URL |
CVE-2004-0127 (CVE) |
| 관련 URL |
9529 (SecurityFocus) |
| 관련 URL |
(ISS) |
|
