| 취약점ID |
22063 |
| 위험도 |
30 |
| 포트 |
80, ... |
| 프로토콜 |
TCP |
| 분류 |
WWW |
| 상세설명 |
해당 Lotus Domino 웹서버는 'View' ACL bypass 취약점을 가지고 있다.
Lotus Domino는 IBM에 의해 개발된 애플리케이션 서버이다. 그 특징중의 하나는 웹기반의 인터페이스를 통하여 Lotus Notes 데이터베이스에 대한 원격지 사용자 조작기능을 제공하는 것이다.
Lotus Notes 문서들은 Lotus Domino에 있는 'Views'로 만들어질 수 있다. 중요한 문서들을 보호하기 위해 ACL들을 View들과 View로 만들어진 모든 문서들에 적용할 수 있게 되어 있다. Lotus Domino 5.x는 문서 NoteID를 직접 명시해 줌으로써 간단하게 어떤 View로부터 어떤 Notes 문서를 액세스할 수 있는 취약점을 가지고 있다.
이 문제점의 예로써 Statistics Reporting 데이터베이스, statrep.nsf를 검사해 볼 수 있다.
다음과 같이 Events View를 오픈하면:
http://target/statrep.nsf/136/?OpenView
몇몇 문서들을 볼 수 있을 것이다. (136은 Events View의 NoteID이다.)
* 참고 사이트:
http://www.securityfocus.com/bid/3489
http://www.securiteam.com/securitynews/6W0030U35W.html |
| 해결책 |
ACL(Access Control List)들을 View에 적용하여야 한다. 그러면 그 View에 있는 문서들까지 보호된다. |
| 관련 URL |
(CVE) |
| 관련 URL |
(SecurityFocus) |
| 관련 URL |
(ISS) |
|
