🇰🇷 한글 설명
Ruby의 WEBrick gem 1.4.2 버전에서 디렉토리 트래버설 취약점이 발견되었습니다. 공격자가 로컬 접근 권한을 이용해 웹 루트 디렉토리 외부를 가리키는 심볼릭 링크를 생성할 수 있다면 발생할 수 있습니다. 다만, 벤더 측은 이를 Apache HTTP 서버의 Options FollowSymlinks 동작과 유사한 기능으로 간주하고 있습니다.
💡 쉬운 설명
웹 서버가 웹 폴더 외부의 파일에 연결된 '바로가기'를 따라가서 파일을 보여주는 문제입니다. 공격자가 미리 가짜 바로가기를 만들어 두었다면 서버 내부의 중요한 파일을 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
The WEBrick gem 1.4.2 for Ruby allows directory traversal if the attacker once had local access to create a symlink to a location outside of the web root directory. NOTE: The vendor states that this is analogous to Options FollowSymlinks in the Apache HTTP Server, and therefore it is "not a problem.
📍 영향받는 시스템
Ruby WEBrick gem 1.4.2
⚔️ 공격 벡터
로컬 접근 권한을 가진 공격자가 웹 루트 외부를 가리키는 심볼릭 링크를 생성하여 파일에 접근
🛡️ 대응 방법
WEBrick gem을 최신 버전으로 업데이트하거나 심볼릭 링크를 통한 외부 파일 접근을 제한하도록 설정
🔧 검증 코드
출력 결과에 webrick (1.4.2) 버전이 포함되어 있는지 확인