🇰🇷 한글 설명
HP Operations Manager 8.10의 Tomcat 사용자 설정 XML 파일에 숨겨진 계정이 존재하여, 원격 공격자가 org.apache.catalina.manager.HTMLManagerServlet을 이용해 manager/html/upload 인터페이스로 무제한 파일 업로드 공격을 수행할 수 있다. 이를 통해 서버에서 임의의 코드를 실행할 수 있다.
💡 쉬운 설명
HP Operations Manager의 Tomcat 서버에 숨겨진 기본 사용자가 있어서, 누구나 임의의 파일을 업로드할 수 있다. 공격자는 이를 악용해 서버를 완전히 장악하는 악성 코드를 실행할 수 있다.
🇺🇸 원문 (English)
HP Operations Manager 8.10 on Windows contains a "hidden account" in the XML file that specifies Tomcat users, which allows remote attackers to conduct unrestricted file upload attacks, and thereby execute arbitrary code, by using the org.apache.catalina.manager.HTMLManagerServlet class to make requests to manager/html/upload.
📍 영향받는 시스템
HP Operations Manager 8.10 (Windows 환경)
⚔️ 공격 벡터
Tomcat manager/html/upload 인터페이스를 통한 인증 우회 및 원격 파일 업로드
🛡️ 대응 방법
HP Operations Manager를 8.11 이상으로 업그레이드하거나 숨겨진 Tomcat 계정을 삭제
🔧 검증 코드
대상 서버의 manager 업로드 페이지 접근 여부를 확인하며, 접근 가능하면 'Manager accessible'을 출력한다.
curl -s http://<target>:8080/manager/html/upload 2>/dev/null | grep -i 'upload' && echo 'Manager accessible' || echo 'Protected'