🇰🇷 한글 설명
Virtual Hosting Control System (VHCS) 2.4.7.1 및 이전 버전의 change_password.php 파일에서 기존 비밀번호를 검증하지 않는 취약점이 발견되었습니다. 이로 인해 원격 공격자가 사용자의 비밀번호를 임의로 변경하여 권한 없는 접근을 획득할 수 있습니다.
💡 쉬운 설명
비밀번호를 바꿀 때 원래 비밀번호가 맞는지 확인하는 절차가 빠져 있는 상태입니다. 해커가 현재 비밀번호를 몰라도 사용자의 비밀번호를 마음대로 바꿔서 계정을 뺏을 수 있습니다.
🇺🇸 원문 (English)
change_password.php in Virtual Hosting Control System (VHCS) 2.4.7.1 and earlier does not verify the old password when a user changes the password, which may allow remote attackers to gain unauthorized access.
📍 영향받는 시스템
Virtual Hosting Control System (VHCS) 2.4.7.1 및 그 이전 버전
⚔️ 공격 벡터
원격에서 change_password.php 페이지를 통해 기존 비밀번호 검증 없이 비밀번호 변경 요청 전송
🛡️ 대응 방법
VHCS를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 비밀번호 변경 시 기존 비밀번호를 확인하도록 소스 코드를 수정해야 합니다.
🔧 검증 코드
해당 파일의 존재 여부와 경로를 확인하여 취약한 구성 요소가 설치되어 있는지 파악합니다.
find / -name "change_password.php" 2>/dev/null | xargs grep -l "change_password.php"
📊 CVSS Vector String
AV:N/AC:L/Au:N/C:P/I:P/A:P
💻 영향받는 소프트웨어
IBM Security Verify Access