| 취약점ID |
21897 |
| 위험도 |
20 |
| 포트 |
80, ... |
| 프로토콜 |
TCP |
| 분류 |
CGI |
| 상세설명 |
해당 WebCalendar 프로그램은 사용자 계정 나열 취약점에 취약하다. WebCalendar는 단일 사용자나 인트라넷 사용자들의 그룹을 위한 달력을 관리하는 데 사용되는 그래피컬한 PHP 어플리케이션이다. WebCalendar 1.0.1, 1.0.2 그리고 1.0.3 버전들은 정보 노출 문제를 가지고 있다. 문제는 로그인 페이지에서 타당한 사용자명 혹은 타당하지 않은 사용자명을 가지고 성공하지 않은 로그인 시도가 수행되었는지 아닌지에 따라 에러 메시지들이 다르게 반환된다는 것이다. 한번이라도 타당한 사용자명이 발견된다면 원격지의 공격자는 반복 대입(Brute Force) 기법들을 이용하여 WebCalendar 어플리케이션에 대한 액세스를 얻어낼 수도 있다.
* 참고 사이트:
http://www.securityfocus.com/archive/1/433053/30/0/threaded
http://www.securityfocus.com/archive/1/433077/100/0/threaded
http://lists.grok.org.uk/pipermail/full-disclosure/2006-May/045758.html
http://secunia.com/advisories/19974
http://secunia.com/advisories/20108
* 영향을 받는 플랫폼:
Craig Knudsen, WebCalendar 1.0.1
Craig Knudsen, WebCalendar 1.0.2
Craig Knudsen, WebCalendar 1.0.3
모든 운영체제 모든 버전 |
| 해결책 |
WebCalendar 다운로드 웹 페이지인 http://www.k5n.us/webcalendar.php?topic=Download 에서 최신버전의 WebCalendar(1.1 혹은 이후)을 구하여 업그레이드 하여야 한다.
http://www.e107.org 에서 구할 수 있는 e107의 가장 최신 버전(0.7.4 혹은 이후)으로 업그레이드 하여야 한다. |
| 관련 URL |
CVE-2006-2247 (CVE) |
| 관련 URL |
17853 (SecurityFocus) |
| 관련 URL |
26262 (ISS) |
|
