🇰🇷 한글 설명
IBM Netezza Performance Portal 1.0.2의 HTTPD 서버가 인증된 사용자에게 애플리케이션 디렉토리의 자산 파일(이미지 등)을 나열할 수 있게 허용하는 디렉토리 열거 취약점입니다. 직접 URI 요청을 통해 민감한 파일 목록이 노출될 수 있습니다.
💡 쉬운 설명
Netezza 관리자 권한이 있는 사람이 서버의 숨겨진 폴더 목록을 볼 수 있는 문제입니다. 이를 통해 시스템의 구조를 파악하고 추가 공격에 활용할 수 있습니다.
🇺🇸 원문 (English)
HTTPD in IBM Netezza Performance Portal 1.0.2 allows remote authenticated users to list application directories containing asset files via a direct request to a directory URI, as demonstrated by listing image files.
📍 영향받는 시스템
IBM Netezza Performance Portal 1.0.2
⚔️ 공격 벡터
HTTP GET 요청으로 디렉토리 URI에 직접 접근하여 파일 목록 열거 (인증 필요)
🛡️ 대응 방법
IBM Netezza를 최신 버전으로 업그레이드하거나 패치를 적용하여 디렉토리 열거를 차단합니다.
🔧 검증 코드
HTTP 응답에서 디렉토리 목록(Index 페이지, href 링크 등)이 반환되면 취약하고, '403 Forbidden' 또는 '디렉토리 목록 비활성화' 메시지면 안전합니다.
curl -s http://target:port/assets/ 2>&1 | grep -E '(Index|Directory|href|<li>)' || echo 'Directory listing disabled'