🇰🇷 한글 설명
Doug Neal의 HTTPD 데몬(DNHTTPD) 0.4.1 이전 버전에서 디렉토리 트래버설 취약점이 발견되었습니다. 원격 공격자가 '.'의 16진수 코드인 '%2E'를 이용한 '..' 공격을 통해 서버 내의 임의 파일을 조회할 수 있습니다.
💡 쉬운 설명
웹 서버의 보안 허점을 이용해 원래는 접근해서는 안 될 서버 내부의 비밀 파일들을 훔쳐볼 수 있는 취약점입니다. 주소창에 특수한 문자를 입력해 서버의 폴더 구조를 거슬러 올라가는 방식입니다.
🇺🇸 원문 (English)
Directory traversal vulnerability in Doug Neal's HTTPD Daemon (DNHTTPD) before 0.4.1 allows remote attackers to view arbitrary files via a .. (dot dot) attack using the dot hex code '%2E'.
📍 영향받는 시스템
Doug Neal's HTTPD Daemon (DNHTTPD) 0.4.1 미만 버전
⚔️ 공격 벡터
HTTP 요청 경로에 '%2E'와 같은 인코딩된 문자를 사용하여 상위 디렉토리에 접근하는 디렉토리 트래버설 공격
🛡️ 대응 방법
DNHTTPD를 0.4.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 실행 결과 0.4.1 미만의 버전 번호가 출력되면 해당 취약점에 노출된 상태입니다.
dnhttpd -v 2>/dev/null | grep -E '0.[0-3]\.'