🇰🇷 한글 설명
MicroWorld eScan Management Console 14.0.1400.2281 버전의 사용자 프로필 보기 기능에서 SQL 인젝션 취약점이 발견되었습니다. 원격 공격자는 이를 통해 전체 데이터베이스를 유출하거나 Windows XP 명령 셸을 획득하여 데이터베이스 서버에서 코드를 실행할 수 있습니다.
💡 쉬운 설명
해커가 특수하게 조작된 명령어를 보내 관리 프로그램의 데이터베이스를 통째로 훔쳐갈 수 있는 보안 약점입니다. 이 과정에서 해커가 컴퓨터를 직접 조종하여 악성 프로그램을 실행할 수도 있습니다.
🇺🇸 원문 (English)
SQL injection in the View User Profile in MicroWorld eScan Management Console 14.0.1400.2281 allows remote attacker to dump entire database and gain windows XP command shell to perform code execution on database server via GetUserCurrentPwd?UsrId=1.
📍 영향받는 시스템
MicroWorld eScan Management Console 14.0.1400.2281
⚔️ 공격 벡터
GetUserCurrentPwd 파라미터를 이용한 원격 SQL Injection 공격
🛡️ 대응 방법
해당 소프트웨어를 최신 보안 패치가 적용된 버전으로 업데이트하거나 취약한 API 호출을 차단하십시오.
🔧 검증 코드
해당 URL 호출 시 서버의 응답 상태와 취약한 파라미터의 노출 여부를 확인하여 보안 설정을 점검합니다.
curl -s -I http://<target_ip>/path/to/GetUserCurrentPwd?UsrId=1 | grep -i 'HTTP/1.1'