🇰🇷 한글 설명
Oracle Internet Application Server(IAS) 3.0.7 및 이전 버전의 포트 리스너와 modplsql 기본 설정 취약점입니다. 공격자가 HTTP 요청을 통해 데이터베이스 액세스 디스크립터(DAD) 파일을 요청함으로써 권한이 필요한 데이터베이스 정보를 원격으로 조회할 수 있습니다.
💡 쉬운 설명
서버의 설정이 너무 느슨하게 되어 있어, 외부인이 인터넷을 통해 데이터베이스의 중요한 정보를 몰래 훔쳐볼 수 있는 문제입니다. 마치 집 대문을 열어두어 지나가는 사람이 집 안의 중요한 서류를 볼 수 있는 것과 같습니다.
🇺🇸 원문 (English)
The default configurations of (1) the port listener and (2) modplsql in Oracle Internet Application Server (IAS) 3.0.7 and earlier allow remote attackers to view privileged database information via HTTP requests for Database Access Descriptor (DAD) files.
📍 영향받는 시스템
Oracle Internet Application Server (IAS) 3.0.7 및 그 이전 버전
⚔️ 공격 벡터
HTTP 요청을 통한 Database Access Descriptor (DAD) 파일 접근
🛡️ 대응 방법
Oracle IAS를 최신 보안 패치 버전으로 업데이트하거나, modplsql 및 포트 리스너의 기본 설정을 보안 가이드에 따라 변경해야 합니다.
🔧 검증 코드
명령어 실행 결과 HTTP 200 OK 응답이 반환되면 해당 파일에 접근이 가능한 취약한 상태입니다.
curl -I http://<target_ip>:<port>/DAD_file_path 2>/dev/null | grep -E 'HTTP/1.1 200 OK'
📊 CVSS Vector String
AV:N/AC:L/Au:N/C:P/I:N/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server