🇰🇷 한글 설명
Lighttpd 1.4.10 및 이전 버전이 Windows에서 실행될 때 발생하는 취약점입니다. 공격자가 요청 경로 끝에 점(.)과 공백 문자를 포함하여 전송하면, Windows의 파일 처리 특성으로 인해 PHP 파일 등의 소스 코드가 그대로 노출될 수 있습니다.
💡 쉬운 설명
파일 이름 뒤에 점이나 공백을 붙여 서버를 속이는 방식입니다. 원래는 서버에서 실행되어 결과만 보여줘야 할 코드가 일반 텍스트 파일처럼 읽혀서 외부에 유출됩니다.
🇺🇸 원문 (English)
response.c in Lighttpd 1.4.10 and possibly previous versions, when run on Windows, allows remote attackers to read arbitrary source code via requests that contain trailing (1) "." (dot) and (2) space characters, which are ignored by Windows, as demonstrated by PHP files.
📍 영향받는 시스템
Lighttpd 1.4.10 및 이전 버전 (Windows OS 환경)
⚔️ 공격 벡터
URL 끝에 점(.)과 공백을 추가하여 서버의 파일 확장자 처리 로직을 우회하는 요청 전송
🛡️ 대응 방법
Lighttpd를 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 1.4.10 이하인 경우 해당 취약점에 노출되었을 가능성이 높습니다.
lighttpd -v | grep -E '1.4.[0-9]+'