| 취약점ID |
21779 |
| 위험도 |
40 |
| 포트 |
80, ... |
| 프로토콜 |
TCP |
| 분류 |
CGI |
| 상세설명 |
해당 웹 서버에는 Server Side Include 공격에 취약한 CGI 파일이 존재한다. Server Side Include (SSI)는 동적 웹 페이지들을 생성하는데 사용된다. SSI는 잠재적으로 개발자에 의해 의도되지 않은 방법들로 운영체제의 명령들을 실행하는 데 도용될 수 있다. 만약 SSI 기능이 사용함으로 되어 있다면, 원격지의 공격자는 Server Side Includes (SSI)를 이용하여 서버에 임의의 쉘(shell) 명령들을 포함한 잘 조작된 HTTP 요청을 보내 영향을 받는 웹 서버 프로세서의 권한을 가지고 시스템 상에 임의의 명령들을 실행시킬 수 있다.
* 참고 사이트:
http://support.microsoft.com/default.aspx?scid=kb;[LN];195291
http://support.microsoft.com/default.aspx?scid=kb;[LN];233969
* 영향을 받는 플랫폼:
모든 HTTP 서버 모든 버전
모든 운영체제 모든 버전 |
| 해결책 |
쉘(shell) 메타문자(metacharater)들을 필터링하여 시스템 명령 실행이 안되도록 영향을 받는 웹 페이지를 수정하여야 한다.
-- 혹은 --
SSI가 필요하지 않다면 모든 디렉토리들에 대해 디폴트로 사용하지 않음으로 설정한다.
Apache의 경우:
'Options Includes', 'Options IncludesNOEXEC' 혹은 'Options All' 등을 사용하지 말아야 한다. 전역적으로 SSI를 사용중지 하기 위해서는, 다음과 같이 Apache httpd.conf 구성 파일에 root 디렉토리에 대해 'Options -Includes' 엔트리를 추가해 주어야 한다.
<Directory />
Options -Includes
</Directory>
Microsoft IIS의 경우:
1. Regedit를 이용하여, HKLM\System\CurrentControlSet\Services\W3SVC\Parameters 레지스트리 키를 찾는다.
2. SSIEnableCmdDirective로 명명된 엔트리를 찾는다.
3. 값을 0으로 변경한다. |
| 관련 URL |
CVE-1999-0561 (CVE) |
| 관련 URL |
(SecurityFocus) |
| 관련 URL |
1268,13688 (ISS) |
|
