| 취약점ID |
27066 |
| 위험도 |
40 |
| 포트 |
135 |
| 프로토콜 |
TCP |
| 분류 |
WMI |
| 상세설명 |
대량의 파일 업로드 및 다운로드로 인하여 서비스 불능상태가 발생할 수 있으므로 불필요한 업로드 및 다운로드의 용량을 제한하여야 함. 또한, 대량의 파일 용량을 허용할 경우 웹 취약점으로 인하여 중요 정보가 대량으로 유출될 위험성이 있음.
* 영향을 받는 플랫폼:
Microsoft IIS Server |
| 해결책 |
[Windows Server 2003]
1. 시작> 실행> SERVICES.MSC> IISADMIN> 속성> [일반] 탭에서 서비스 중지
2. %systemroot%\system32\inetsrv\MetaBase.xml 파일을 찾아 편집기로 OPEN
3. AspMaxRequestEntityAllowed 값을 찾아 파일 업로드 용량을 최소 범위로 제한
4. AspBufferingLimit 값을 찾아 파일 다운로드 용량을 최소 범위로 제한
5. 시작> 실행> SERVICES.MSC> IISADMIN> 속성> [일반] 탭에서 서비스 시작
※ Default 설정 값
(1) maxAllowedContentLength (콘텐츠 용량) => Default: 30MB
(2) MaxRequestEntityAllowed (파일 업로드 용량) => Default: 200000 byte
(3) bufferingLimit (파일 다운로드 용량)=> Default: 4MB(4194304 byte)
[Windows Server 2008, 2012, 2016, 2019]
1. 등록된 웹 사이트의 루트 디렉터리에 있는 web.config 파일 내 아래 항목 추가
(web.config 파일이 없으면 사이트 홈 디렉터리에 새로 생성)
-------------------------------------------------------------------------------------------
web.config 파일
<configuration>
<system.webServer>
<security>
<requestFiltering>
<requestLimits maxAllowedContentLength="콘텐츠용량" />
</requestFiltering>
</security>
</system.webServer>
</configuration>
-------------------------------------------------------------------------------------------
%systemroot%\system32\inetsrv\config\applicationHost.config 파일 내 아래 항목 추가
-------------------------------------------------------------------------------------------
<system.webServer>
<asp>
<limits bufferingLimit="파일다운로드용량" maxRequestEntityAllowed="파일업로드용량"/>
</asp>
</system.webServer>
-------------------------------------------------------------------------------------------
Default 설정 값
(1) maxAllowedContentLength (콘텐츠 용량) -> Default 30MB
(2) MaxRequestEntityAllowed (파일 업로드 용량) -> Default 200000 byte
(3) bufferingLimit (파일 다운로드 용량) -> Default 4MB(4194304 byte) |
| 관련 URL |
(CVE) |
| 관련 URL |
(SecurityFocus) |
| 관련 URL |
(ISS) |
|
