| 취약점ID |
22054 |
| 위험도 |
20 |
| 포트 |
80, ... |
| 프로토콜 |
TCP |
| 분류 |
Servlet |
| 상세설명 |
해당 Resin 서버는 특정 DOS 디바이스의 요청에 대해서 웹 루트의 디렉토리 경로를 노출한다.
Resin은 Caucho Technology 상에서 개발된 자바와 자바 스크립트를 지원하는 서블릿 / JSP 엔진이다.
Resin 서버는 원격지 공격자들이 lpt9.xtp와 같은 특정한 MS-DOS 디바이스를 요청할 경우, 다음과 같이 웹 루트의 실제 디렉토리 경로를 포함하는 에러 메시지를 반환하게 된다.
500 Servlet Exception
java.io.FileNotFoundException: C:\Documents and Settings\Administrator\Desktop\resin-2.1.1\resin-2.1.1\doc\aux.xtp
(Access is denied)
이러한 정보들은 공격자들이 서버에 대한 파일 시스템 정보를 파악하고 시스템 자원에 대한 불법적 접근을 하는데 유용하게 이용될 수 있다.
* 취약한 플랫폼:
Resin 2.1.1 on Windows 2000 Server
Resin 2.1.2 on Windows 2000 Server |
| 해결책 |
다음 Caucho Technology 웹사이트를 참고하여 보다 최신 버전(2.1.s020711 버전 이상)으로 업그레이드 하여야 한다:
http://caucho.com/products/resin/download |
| 관련 URL |
CVE-2002-2090 (CVE) |
| 관련 URL |
5252 (SecurityFocus) |
| 관련 URL |
9590 (ISS) |
|
