🇰🇷 한글 설명
Meta4 HR 애플리케이션의 정보 노출 취약점으로, /sitetest/english/dumpenv.jsp 엔드포인트를 통해 HTTP GET 요청 시 애플리케이션 환경 변수, Tomcat 버전, 라이브러리 버전, 운영체제 정보 등 민감한 정보가 노출된다. 이를 통해 공격자가 시스템의 상세한 구성 정보를 수집할 수 있어 추가 공격의 발판이 될 수 있다.
💡 쉬운 설명
Meta4 HR 시스템에서 특정 웹 페이지에 접속하면 컴퓨터의 비밀 설정 정보(프로그램 버전, OS 종류 등)가 그대로 노출되는 문제입니다. 공격자가 이 정보를 이용해 더 큰 공격을 준비할 수 있습니다.
🇺🇸 원문 (English)
A Information Exposure Vulnerability has been found on Meta4 HR. This vulnerability allows an attacker to obtain a lot of information about the application such as the variables set in the process, the Tomcat versions, library versions and underlying operation system via HTTP GET '/sitetest/english/dumpenv.jsp'.
📍 영향받는 시스템
Meta4 HR (모든 영향받는 버전, 공식 패치 버전 미공개)
⚔️ 공격 벡터
HTTP GET 요청으로 /sitetest/english/dumpenv.jsp에 접근하여 환경 정보 수집
🛡️ 대응 방법
해당 dumpenv.jsp 파일 제거 또는 접근 제어 설정, Meta4 공식 보안 패치 적용
🔧 검증 코드
200 OK 응답과 함께 환경 변수, 버전 정보, OS 정보 등이 평문으로 노출되면 취약점 확인됨
curl -s http://target-host:port/sitetest/english/dumpenv.jsp | head -20