🇰🇷 한글 설명
Roxy-WI는 Haproxy, Nginx, Apache 및 Keepalived 서버를 관리하는 웹 인터페이스입니다. 6.3.6.0 미만 버전에서 'dir/../filename'과 같은 경로 탐색 시퀀스를 올바르게 중화하지 못해, 공격자가 서버의 민감한 정보에 접근할 수 있는 취약점이 존재합니다.
💡 쉬운 설명
웹사이트 주소창에 특수 기호를 입력하여 원래는 접근할 수 없는 서버 내부의 비밀 파일을 몰래 훔쳐볼 수 있는 문제입니다. 이를 통해 서버의 중요한 설정이나 개인정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Roxy-WI is a Web interface for managing Haproxy, Nginx, Apache, and Keepalived servers. Versions prior to 6.3.6.0 don't correctly neutralize `dir/../filename` sequences, such as `/etc/nginx/../passwd`, allowing an actor to gain information about a server. Version 6.3.6.0 has a patch for this issue.
📍 영향받는 시스템
Roxy-WI 6.3.6.0 미만 모든 버전
⚔️ 공격 벡터
경로 탐색(Path Traversal)을 이용한 서버 내부 파일 접근
🛡️ 대응 방법
Roxy-WI를 최신 패치 버전인 6.3.6.0 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 출력되는 버전이 6.3.6.0 미만이라면 취약한 상태입니다.
rpm -q roxy-wi 2>/dev/null | grep -E '6\.[0-3]\.[0-5]\.0'