| 취약점ID |
21010 |
| 위험도 |
30 |
| 포트 |
80, ... |
| 프로토콜 |
TCP |
| 분류 |
CGI |
| 상세설명 |
해당 웹서버에 iCat Carbo 서버가 작동중인 것으로 나타난다. iCat Carbo 서버는 WWW를 위한 상호작용형 쇼핑 카탈로그(shopping catalog)를 생성하는데 사용되는 프로그램이다. 그런데 iCat Carbo 서버 버전 3.0.0에는 Carbo 서버가 사용하는 파일시스템에 있는 임의의 파일을 볼 수 있는 취약점이 있다.
예를들어, 다음과 같이 하면 파일들을 읽어올 수 있다.
- Carbo 서버에 존재하지 않는 파일을 액세스 할 때
http://host/carbo.dll?icatcommand=file_to_view&catalogname=catalog
- C:\Winnt\Win.ini 파일을 액세스 할 때
http://host/carbo.dll?icatcommand=..\..\winnt\win.ini&catalogname=catalog
특히, 이 서버에 다른 사용자들의 Credit 카드 정보가 있다면 더더욱 위험하다.
* 영향을 받는 플랫폼:
iCat Carbo 서버 |
| 해결책 |
불 필요한 Dll이면 즉시 제거하여야 한다. 반드시 필요하다면 최신 업그레이드 버전을 구하여 업그레이드 하여야 한다. |
| 관련 URL |
CVE-1999-1069 (CVE) |
| 관련 URL |
2126 (SecurityFocus) |
| 관련 URL |
1620 (ISS) |
|
