🇰🇷 한글 설명
BusyBox httpd의 디렉토리 트래버설 취약점으로, URL에 포함된 인코딩된 '%2e%2e/' 시퀀스를 통해 원격 공격자가 웹 루트 디렉토리 밖의 임의의 파일을 읽을 수 있습니다. 경로 검증 부족으로 인해 상위 디렉토리 접근이 가능합니다.
💡 쉬운 설명
웹 서버가 특수한 URL 코드를 제대로 걸러내지 못해 상위 폴더로 이동할 수 있는 결함입니다. 공격자가 이를 악용해 서버의 중요한 파일(설정, 암호 등)을 읽을 수 있습니다.
🇺🇸 원문 (English)
Directory traversal vulnerability in httpd in Rob Landley BusyBox allows remote attackers to read arbitrary files via URL-encoded "%2e%2e/" sequences in the URI.
📍 영향받는 시스템
Rob Landley BusyBox 1.x 버전의 httpd 모듈
⚔️ 공격 벡터
GET 요청 URL에 '%2e%2e/' 또는 유사한 인코딩된 경로 트래버설 페이로드 삽입
🛡️ 대응 방법
BusyBox를 최신 패치 버전으로 업데이트하거나 불필요한 httpd 기능 비활성화
🔧 검증 코드
BusyBox 버전이 2007년 이후 릴리스 버전이면 안전하며, httpd 모듈이 설치되지 않았으면 취약점 영향 없음
busybox --version && busybox httpd -h 2>&1 | head -1