🇰🇷 한글 설명
Sun Virtual Desktop Infrastructure 3.0의 VirtualBox 2.0.8 및 2.0.10 웹 서비스가 인증을 요구하지 않아 원격 공격자가 Apache HTTP Server를 통해 무단 접근할 수 있는 심각한 취약점입니다. 인증 메커니즘의 완전한 부재로 인한 접근 제어 우회 문제입니다.
💡 쉬운 설명
VirtualBox 웹 서비스가 비밀번호 확인 없이 누구나 접근할 수 있어서 인터넷을 통해 해커가 시스템을 제어할 수 있는 문제입니다. 마치 자동문에 잠금장치가 없는 것과 같습니다.
🇺🇸 원문 (English)
The VirtualBox 2.0.8 and 2.0.10 web service in Sun Virtual Desktop Infrastructure (VDI) 3.0 does not require authentication, which allows remote attackers to obtain unspecified access via vectors involving requests to an Apache HTTP Server.
📍 영향받는 시스템
Sun VirtualBox 2.0.8, 2.0.10 (Sun VDI 3.0 웹 서비스)
⚔️ 공격 벡터
인증 없이 HTTP 요청으로 VirtualBox 웹 서비스 포트(기본 18083)에 직접 접근하여 시스템 제어
🛡️ 대응 방법
VirtualBox를 최신 버전으로 업그레이드하고 웹 서비스 포트를 방화벽으로 제한하며 네트워크 격리 구현
🔧 검증 코드
응답 코드 200이 반환되면 인증 없이 접근 가능(취약), 401/403은 인증 필요(안전), 응답 없음은 서비스 미실행
curl -s http://localhost:18083 -w '%{http_code}' 2>/dev/null | head -c 3