| 취약점ID |
21702 |
| 위험도 |
30 |
| 포트 |
80, ... |
| 프로토콜 |
TCP |
| 분류 |
CGI |
| 상세설명 |
해당 호스트에는 버전 0.9.6c-4 혹은 그 이전의 phpLDAPadmin의 버전이 가동 중인 것으로 나타난다. phpLDAPadmin는 사용자들이 LDAP(Lightweight Directory Access Protocol) 서버들을 관리할 수 있게 해 주는 웹 기반의 관리 툴이다. phpLDAPadmin 버전 0.9.6c를 포함한 그 이전 버전들은 원격지의 공격자가 몇몇 보안 제한들을 우회하여 LDAP 서버를 익명으로 액세스할 수 있게 해 줄 수 있다. 이 보안 문제는 구성에서 Anonymous Bind가 사용되어 지는지의 여부를 검증할 때의 login.php에 있는 오류가 원인이 된다. 이것은 "disable_anon_bind" 문장을 가지는 구성으로 Anonymous Bind가 사용 중지되어 있는 상황에서 LDAP 서버를 익명으로 액세스하는 데 도용될 수 있다.
* 알림: 이 점검항목은 이 취약점을 점검하기 위해 해당 웹 서버 상에 설치된 phpLDAPadmin 소프트웨어의 버전 정보만을 확인한다. 따라서 거짓 양성반응(False Positive)을 보일 수 있다.
* 참고 사이트:
http://secunia.com/advisories/16611/
http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=322423
* 영향을 받는 플랫폼:
SourceForge.net, phpLDAPadmin 버전 0.9.6c를 포함한 그 이전 버전들
모든 운영체제 모든 버전 |
| 해결책 |
SourceForge.net 웹 사이트인 http://sourceforge.net/projects/phpldapadmin 에서 구할 수 있는 phpLDAPadmin의 가장 최신 버전(0.9.7-alpha6 혹은 이후)으로 업그레이드 하여야 한다.
Debian GNU/Linux 3.1 (sarge)의 경우:
다음 Debian Security Advisory DSA-790-1을 참조하여 phpldapadmin의 가장 최신 버전(0.9.5-3sarge2 혹은 이후)으로 업그레이드 하여야 한다:
http://www.debian.org/security/2005/dsa-790 |
| 관련 URL |
CVE-2005-2654 (CVE) |
| 관련 URL |
14694 (SecurityFocus) |
| 관련 URL |
22048 (ISS) |
|
