🇰🇷 한글 설명
Sergey Lyubka의 Simple HTTPD(shttpd) 1.38 이전 버전에서 발견된 Windows 기반 취약점입니다. URI에 '+', '.', '%2e', 0x7f 이상의 16진수 문자 등을 추가하면 서버의 CGI 프로그램이나 스크립트 파일을 임의로 다운로드할 수 있습니다.
💡 쉬운 설명
웹 서버 주소에 특수 기호를 붙이면 보호된 프로그램 파일을 다운로드할 수 있는 결함입니다. 공격자가 서버의 민감한 파일을 탈취하는 데 악용될 수 있습니다.
🇺🇸 원문 (English)
Sergey Lyubka Simple HTTPD (shttpd) 1.38 and earlier on Windows allows remote attackers to download arbitrary CGI programs or scripts via a URI with an appended (1) '+' character, (2) '.' character, (3) %2e sequence (hex-encoded dot), or (4) hex-encoded character greater than 0x7f. NOTE: the %20 vector is already covered by CVE-2007-3407.
📍 영향받는 시스템
Simple HTTPD (shttpd) 1.38 이하 버전 (Windows)
⚔️ 공격 벡터
URI에 '+', '.', '%2e(인코딩된 점), 0x7f 초과 16진수 문자를 추가하여 CGI 프로그램 다운로드 시도
🛡️ 대응 방법
Simple HTTPD를 1.39 이상으로 즉시 업그레이드하거나 공식 보안 패치 적용
🔧 검증 코드
shttpd 관련 실행파일이 존재하면 경로 출력, 없으면 빈 결과 표시 (Windows 서버에서만 실행 가능)
find /opt /srv /usr/local -name 'shttpd*' -o -name '*httpd*' 2>/dev/null | head -5