| 취약점ID |
22263 |
| 위험도 |
30 |
| 포트 |
80, ... |
| 프로토콜 |
TCP |
| 분류 |
WWW |
| 상세설명 |
해당 Lotus Domino 웹 서버는 'ReadDesign' 명령을 통한 정보 노출 취약점을 가지고 있다.
ReadDesign은 읽기 가능한 View들에 대해 XML 목록(XML listing)을 보여 주고 그 View 들의 구조체에 대한 설명을 보여 주는 명령이다. 또한, ReadDesign 명령을 통해 그 View 에 속한 문서들의 목록도 확인할 수 있다. XML 목록에는 View UNID(Universal NoteID), View 이름, 각종 필드 및 동작 등의 중요한 정보들이 포함되어 있다. 따라서, 이 명령에 대한 임의의 액세스가 가능한 경우, 악의적인 공격자들은 각각 데이터베이스들에 해당하는 ReadDesign 명령을 통해서 서버에 대한 중요한 정보들을 획득할 수 있다.
* 영향을 받는 플랫폼:
Lotus Domino R5 Any version
HP-UX Any version
IBM lftpd Any version, IBM OS/2 Any version
Solaris Any version
Linux Any version
Windows NT 4.0, Windows 2000 Any version
Microsoft Windows Any version |
| 해결책 |
IBM/Lotus 웹 사이트를 참조하여 Domino 서버의 가장 최신버전으로 업그레이드하여야 한다.
http://www-01.ibm.com/software/lotus/products/domino/
임시 조치방법으로, 웹 서버를 통해 view 디자인을 읽을 수 없도록 다음 절차대로 *?ReadDesign 의 리다이렉트 URL을 생성한다.
1) Domino 관리자 클라이언트를 열고 편집을 위해 서버에 접속하기 위해 "File->Open Server" 메뉴를 선택한다.
2) 화면의 왼편에서 "Web" 옵션을 클릭하고 "Web Server Configuration" 을 클릭한다.
3) 서버의 문서들의 맨 상단에 "Edit Document" 버튼을 클릭한다.
4) 서버의 문서들의 맨 상단에 "Web" 버튼을 클릭한다.
5) "Create URL Mapping/Redirection" 옵션을 선택한 후 "Mapping" 탭을 클릭한다.
6) Incoming URL string "*?ReadDesign" 에 리다이렉트 URL을 입력한다.
7) 서버 콘솔에서 변경을 적용하기 위해 "tell http restart" 명령을 입력한다. |
| 관련 URL |
(CVE) |
| 관련 URL |
(SecurityFocus) |
| 관련 URL |
(ISS) |
|
