🔍 CVE-2014-0103

2.1
CVSS Score
LOW
2014-07-29
2026-05-06 22:30
✅ 완료

🇰🇷 한글 설명

Zarafa WebAccess 7.1.10 이전 버전과 WebApp 1.6 이전 버전은 PHP 세션 파일에 자격증명을 평문으로 저장하므로, 로컬 Apache 사용자가 이 파일을 읽어 민감한 정보에 접근할 수 있다. 이는 로컬 권한 상승 또는 자격증명 도용으로 이어질 수 있다.

💡 쉬운 설명

Zarafa 메일 서버가 로그인 정보를 암호화하지 않고 서버 파일에 저장하는 문제입니다. 같은 서버에 접근할 수 있는 사람이 이 파일을 읽어 로그인 정보를 얻을 수 있습니다.

🇺🇸 원문 (English)

WebAccess in Zarafa before 7.1.10 and WebApp before 1.6 stores credentials in cleartext, which allows local Apache users to obtain sensitive information by reading the PHP session files.

📍 영향받는 시스템

Zarafa WebAccess < 7.1.10, Zarafa WebApp < 1.6

⚔️ 공격 벡터

Local file access to PHP session files (/tmp, /var/lib/php/sessions) by Apache process or local users

🛡️ 대응 방법

Upgrade to Zarafa 7.1.10 or later, WebApp 1.6 or later; implement file permission restrictions on session directories

🔧 검증 코드

설치된 Zarafa 패키지 목록과 버전을 확인하여 7.1.10 이상으로 업그레이드되었는지 검증합니다.

Shell / Script 
grep -r 'zarafa' /etc/apt/sources.list* 2>/dev/null; dpkg -l | grep -i zarafa 2>/dev/null | awk '{print $2, $3}'

📊 CVSS Vector String

CVSS Vector 
AV:L/AC:L/Au:N/C:P/I:N/A:N

💻 영향받는 소프트웨어

PHP