| 취약점ID |
23160 |
| 위험도 |
30 |
| 포트 |
50000 |
| 프로토콜 |
TCP |
| 분류 |
CGI |
| 상세설명 |
해당 HP SIM 서비스는 'namazucgi' 스크립트에 있는 디렉토리 탐색 취약점에 취약하다. Hewlett-Packard의 SIM(Systems Insight Manager)은 통합 기반 관리 툴이다. Microsoft Windows 플랫폼들 상에서 작동하는 HP SIM 4.2에서 5.0 SP3 까지의 버전들은 'namazucgi' 스크립트의 'lang' 인수로 전달된 사용자가 제공한 입력에 대한 부적절한 검증으로 인하여, 디렉토리 탐색 취약점에 취약하다. 'lang' 인수에 "dot dot" 시퀀스들(/../)을 포함한 'namazucgi' 스크립트로의 잘 조작된 URL을 보냄으로써, 원격지의 공격자는 웹 서버 상의 디렉토리들을 탐색하여 웹 서버 사용자 ID의 권한을 가지고 영향을 받는 호스트 상에 있는 임의의 파일들을 읽어 낼 수 있다.
* 참고 사이트:
http://www.securityfocus.com/advisories/10104
http://secunia.com/advisories/18789
* 영향을 받는 플랫폼:
HP Systems Insight Manager 4.2에서 5.0 SP3 까지의 버전들
Microsoft Windows Any version |
| 해결책 |
다음 Hewlett-Packard "HP SIM - Windows" 다운로드 웹 사이트에서 구할 수 있는 HP SIM의 가장 최신 버전(5.0 SP4 혹은 이후)으로 업그레이드 하여야 한다:
http://h18013.www1.hp.com/products/servers/management/hpsim/dl_windows.html
-- 혹은 --
이 취약점은 다음 Hewlett-Packard 보안 게시물 HPSBMA02096에 나와 있듯이 수작업으로 구성 파일들을 편집함으로써 교정될 수 있다:
http://www.securityfocus.com/advisories/10104 |
| 관련 URL |
CVE-2006-0656 (CVE) |
| 관련 URL |
16571 (SecurityFocus) |
| 관련 URL |
(ISS) |
|
