| 취약점ID |
21390 |
| 위험도 |
30 |
| 포트 |
80, ... |
| 프로토콜 |
TCP |
| 분류 |
CGI |
| 상세설명 |
Mantis의 버전에 따르면 해당 소프트웨어에는 다중의 정보 노출 취약점들이 존재한다. Mantis 는 후위 데이터베이스 시스템으로 MySQL 을 사용하는 무료로 사용 가능한 PHP 기반의 버그 추적 시스템이다. Mantis 0.19.1 이전의 버전들에 있는 두 가지 취약점들은 악의적인 사용자들에 의한 민감한 정보 획득에 도용될 수 있다:
1) "All Projects"에 대한 Summay 정보가 권한이 없는 사용자에 대해 다른 Project들에 관한 어떤 정보를 노출한다.
2) 어떤 Project로부터 삭제된 사용자도 여전히 버그들에 대한 모니터링이 가능하다. 이는 악의적인 사용자가 어떤 Project로부터 삭제되고 난 후에도 민감한 정보를 계속적으로 받아 볼 수 있게 해 준다.
* 알림: 이 점검항목은 이 취약점을 점검하기 위해 해당 웹 서버 상에 설치된 Mantis 버전 정보만을 확인한다. 따라서 거짓 양성반응(False Positive)을 보일 수 있다.
* 참고 사이트:
http://bugs.mantisbt.org/view.php?id=3117
http://bugs.mantisbt.org/view.php?id=4341
http://secunia.com/advisories/13111/
* 영향을 받는 플랫폼:
Mantis 0.19.1 이전 버전들
모든 운영체제 모든 버전 |
| 해결책 |
다음 Mantis 웹 사이트로부터 가장 최신 버전(0.19.1 혹은 이후)을 구하여 업그레이드 하여야 한다:
http://www.mantisbt.org/index.php |
| 관련 URL |
CVE-2004-2666 (CVE) |
| 관련 URL |
11622 (SecurityFocus) |
| 관련 URL |
17981,17982 (ISS) |
|
