| 취약점ID |
22262 |
| 위험도 |
30 |
| 포트 |
80, ... |
| 프로토콜 |
TCP |
| 분류 |
WWW |
| 상세설명 |
해당 Lotus Domino 웹 서버는 디폴트 네비게이터($defaultnav) 액세스를 통한 정보 노출 취약점을 가지고 있다.
Lotus Notes 데이터베이스 설계자들은 사용자들이 문서를 위한 데이터베이스를 탐색하도록 네비게이터(navigator)를 생성할 수 있으며 각각의 데이터베이스에는 디폴트 네비게이터인 "$defaultnav"가 존재한다. 이 디폴트 네비게이터는 사용자들이 볼 수 있는 View 들의 목록을 보여 주는 역할을 한다. 따라서, 이 디폴트 네비게이터에 대한 임의의 액세스가 가능할 경우, 악의적인 공격자들은 각각 데이터베이스들에 해당하는 디폴트 네비게이터를 액세스함으로써, 비인가된 View를 액세스할 수 있으며 시스템에 대한 중요한 정보들을 획득할 수 있다.
* 영향을 받는 플랫폼:
Lotus Domino 5.0 ~ 5.0.7, 5.0.7a, 5.0.8
HP-UX Any version
IBM lftpd Any version, IBM OS/2 Any version
Solaris Any version
Linux Any version
Microsoft Windows Any version |
| 해결책 |
디폴트 네비게이터 '$DefaultNav'가 완전히 제거된 Domino 6 이상, 또는 R5.0.10 이상의 버전으로 업그레이드하여야 한다.
http://www-01.ibm.com/software/lotus/products/domino/
임시 조치방법으로, 다음 절차에 따라 URL 리다이렉팅(redirecting)을 통해서 액세스를 제한할 수 있다. 그러나, 이 방법은 IBM/Lotus 에 의해 권고되지 않는 방법임을 주의하여야 한다.
1) Domino 관리자 클라이언트를 연 후, 편집을 위해 서버에 접속하기 위한 "File->Open Server" 메뉴를 선택한다.
2) 화면의 왼편에서 "Web" 옵션을 클릭하고 "Web Server Configuration" 을 클릭한다.
3) 서버의 문서들의 맨 상단에 "Edit Document" 버튼을 클릭한다.
4) 서버의 문서들의 맨 상단에 "Web" 버튼을 클릭한다.
5) "Create URL Mapping/Redirection" 옵션을 선택한 후 "Mapping" 탭을 클릭한다.
6) 문서를 저장하고 닫는다.
7) "Incoming URL string" 필드에 리다이렉트할 URL을 입력한다.
8) "Target server directory" 필드에 리다이렉트할 URL을 입력한다.
9) 서버 문서의 맨 상단에 "Save and Close" 버튼을 클릭한다. |
| 관련 URL |
CVE-2001-0847 (CVE) |
| 관련 URL |
3488 (SecurityFocus) |
| 관련 URL |
7423 (ISS) |
|
