| 취약점ID |
22261 |
| 위험도 |
20 |
| 포트 |
7070,8080 |
| 프로토콜 |
TCP |
| 분류 |
WWW |
| 상세설명 |
해당 Real Server는 임의의 익명의 사용자가 default.cfg 파일을 다운로드할 수 있게 해 준다. RealNetworks RealServer는 인기있는 스트리밍 오디오 및 비디오 서버이다. RealServer는 RealAdministrator\Docs 디렉토리에 default.cfg 파일을 포함하고 있다. 이 설정 파일은 고객들이 좀 더 진보된 몇몇 RealServer의 기능들을 설정하는 동안에 일어날 수 있는 문제들을 해결하는데 도움을 주고자 RealServer 기술 지원 인력들에 의해 사용된다. RealServer 7의 모든 버전들은 비인가된 사용자가 사용자명과 패스워드를 묻지 않고 이 설정 파일을 액세스하게 해 줄 수 있다. 이 취약점만으로는 비인가된 사용자들이 RealServer 관리자 컴퓨터의 내용들에 대한 액세스를 허용하지는 않는다; 다만 그 사용자들에게 설치 시 인증을 위한 RealServer 관리자의 패스워드에 대한 액세스를 할 수 있게 해 준다. 사용자 명들이 설정 파일에 저장되어 있는 것은 아니므로 비인가된 사용자들이 관리자의 사용자 명을 볼 수는 없지만 어쨌든 이 파일은 웹 브라우저를 통해 액세스되어서는 안 된다.
* 알림: 이 점검항목은 이 취약점을 점검하기 위해 해당 Real Server의 버전 정보만을 확인한다. 따라서 거짓 양성반응(False Positive)을 보일 수 있다.
* 참고 사이트:
http://www.service.real.com/help/faq/security/configaccess.html
* 영향을 받는 플랫폼:
RealNetworks, 사, RealServer 7의 모든 버전들
Linux Any version
Microsoft Windows Any version |
| 해결책 |
default.cfg 파일에 대한 비인가된 액세스를 제한하기 위하여 다음과 같은 절차를 수행하여야 한다:
1. Docs 디렉토리에 있는 default.cfg 파일을 최상위(root) RealServer 설치 디렉토리와 같은 보다 더 안전한 위치로 옮겨 놓는다.
2. RealServer 관리 시스템을 액세스하는데 사용하는 사용자 명/패스워드를 변경한다. |
| 관련 URL |
(CVE) |
| 관련 URL |
(SecurityFocus) |
| 관련 URL |
(ISS) |
|
