| 취약점ID |
21309 |
| 위험도 |
30 |
| 포트 |
80, ... |
| 프로토콜 |
TCP |
| 분류 |
CGI |
| 상세설명 |
해당 웹 서버 상의 Crystal Report Web Form Viewer 에는 정보 노출 취약점과 서비스 거부 취약점이 존재한다.
Crystal Report는 Business Objects 사에 의해 배포되는 데이터 리포팅(reporting) 및 출판(publishing) 툴이다. Crystal Reports와 Crystal Enterprise Web Viewers 에서는 특정 HTTP 요청을 받아들이기 전에 입력에 대한 정확한 유효성 검사가 이루어지지 않음으로 인하여, 정보 노출 취약점과 서비스 거부 취약점이 발생할 수 있다. 공격자들은 특별하게 조작된 HTTP 요청을 전달함으로써, Crystal Reports와 Crystal Enterprise Web viewer를 통해 파일을 읽어 오거나 파일을 삭제하는 등의 행위를 할 수 있으며 이로 인하여 대상 시스템에 대한 정보 노출 및 서비스 거부 공격을 야기할 수 있다.
* 참고 사이트:
http://www.microsoft.com/technet/security/bulletin/ms04-017.asp
* 영향을 받는 플랫폼:
Microsoft Business Solutions CRM 1.2
Microsoft Outlook 2003 BusinessConMgr
Microsoft Visual Studio .NET 2003
BEA Systems Weblogic Server 8.1, SP1, 8.1 SP2
BEA Systems WebLogic Server for Win32 8.1, SP1, SP2
Borland J Builder
Business Objects Crystal Enterprise 9.0, 10.0, Java SDK 8.5, RAS for UNIX 8.5
Business Objects Crystal Reports 9.0, 10.0 |
| 해결책 |
마이크로소프트사의 제품군인 경우:
다음 마이크로소프트의 보안 게시물 MS04-017을 참조하여 이 취약점에 대한 적절한 패치를 적용하여야 한다:
http://www.microsoft.com/technet/security/bulletin/ms04-017.mspx |
| 관련 URL |
CVE-2004-0204 (CVE) |
| 관련 URL |
10260 (SecurityFocus) |
| 관련 URL |
16044 (ISS) |
|
