| 취약점ID |
21306 |
| 위험도 |
40 |
| 포트 |
80, ... |
| 프로토콜 |
TCP |
| 분류 |
CGI |
| 상세설명 |
해당 Open WebMail 프로그램 버전에 따르면, Open WebMail 프로그램은 'userstat.pl' 스크립트를 통한 원격 명령 실행 취약점을 가지고 있다.
Open WebMail은 Unix 계열 운영체제 상에서 동작하도록 Perl 스크립트로 제작된 오픈 소스 웹 메일 프로그램이다. Open WebMail 버전 2.30과 그 이전 버전들에는 원격지 공격자들이 대상 시스템 상에서 임의의 명령을 수행하도록 허용하는 취약점이 존재한다. 이는 'userstat.pl' 컴포넌트에 넘겨지는 파라미터에서 쉘 메타 문자(shell metacharacters)들이 적절히 필터링되지 못하는 결함으로 인하여 발생한다. 원격지 공격자들은 이 파라미터에 잘 조작된 쉘 메타 문자들을 포함시킴으로써, 대상 시스템의 웹 서버 권한으로 임의의 명령들을 원격으로 실행할 수 있다.
* 알림: 이 점검항목은 이 취약점을 점검하기 위해 해당 원격지 Open WebMail의 버전 정보만을 확인한다. 따라서 거짓 양성반응(False Positive)을 보일 수 있다. 만약, 버전 정보가 'openwebmail.pl' 파일로부터 획득되었고 2004년 1월 27일자로 릴리즈된 패치를 적용하였다면 이 취약점은 무시한다.
* 참고 사이트:
http://secunia.com/advisories/11091/
* 영향을 받는 플랫폼:
Open WebMail 2.30(2004-01-17) 및 이전 버전들
Linux Any version |
| 해결책 |
다음 Open WebMail 웹 사이트 http://openwebmail.acatysmoof.com/ 를 참조하여 가장 최신 버전(dated 16-June-2004 이후)으로 업그레이드 하여야 한다. 2004년 01월 27일 기준으로 Open WebMail 2.30 버전에서 이 문제는 해결되었다. |
| 관련 URL |
(CVE) |
| 관련 URL |
10316 (SecurityFocus) |
| 관련 URL |
15444 (ISS) |
|
