🇰🇷 한글 설명
iDocView의 /doc/upload 엔드포인트에서 인증을 우회하여 임의의 URL을 호출할 수 있는 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자는 하드코딩된 기본 토큰(testtoken)을 사용하여 인증을 통과한 뒤, file:// 프로토콜 등을 이용해 로컬 파일을 읽거나 내부 네트워크에 접근할 수 있습니다.
💡 쉬운 설명
해커가 미리 정해진 비밀번호를 이용해 시스템에 몰래 들어온 뒤, 서버 내부의 중요한 파일을 훔쳐보거나 내부 네트워크를 공격할 수 있는 문제입니다. 마치 집 문이 열려 있는 것을 이용해 들어와서 서류를 뒤지거나 옆집으로 연결되는 통로를 찾는 것과 같습니다.
🇺🇸 원문 (English)
iDocView contains a server-side request forgery vulnerability in its /doc/upload endpoint that allows remote unauthenticated attackers to fetch arbitrary URLs by supplying a hardcoded default token value (testtoken) to bypass authentication. Attackers can exploit the unrestricted URL scheme handling, including file:// URIs, to read arbitrary local files such as operating-system and application configuration files, and to reach internal network hosts and services not otherwise accessible. Exploitation evidence was first observed by the Shadowserver Foundation on 2024-03-26.
📍 영향받는 시스템
iDocView (인증 우회 및 SSRF 취약점이 존재하는 버전)
⚔️ 공격 벡터
하드코딩된 기본 토큰(testtoken)을 이용한 인증 우회 후 /doc/upload 엔드포인트에 악의적인 URL 요청 전송
🛡️ 대응 방법
하드코딩된 기본 토큰을 제거하고 강력한 인증 메커니즘을 적용하며, URL 스킴(file:// 등)에 대한 입력값 검증 및 화이트리스트 기반 제한을 실시해야 합니다.
🔧 검증 코드
명령어 실행 결과 HTTP 200 OK가 반환된다면 기본 토큰을 통한 인증 우회 및 취약점이 존재하는 상태입니다.
curl -s -I -H 'Authorization: testtoken' http://<target_ip>/doc/upload | grep 'HTTP/1.1 200 OK'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server