🇰🇷 한글 설명
1C-Bitrix Bitrix24 23.300.100 버전의 DAV 서버 설정에서 자격 증명이 충분히 보호되지 않는 취약점이 발견되었습니다. 이를 통해 원격 관리자는 HTTP GET 요청을 사용하여 Exchange 계정 비밀번호를 읽을 수 있습니다.
💡 쉬운 설명
서버 설정 파일에 비밀번호가 안전하게 숨겨져 있지 않아 발생하는 문제입니다. 해커가 특정 요청을 보내면 관리자 권한을 이용해 이메일 계정 비밀번호를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
Insufficiently protected credentials in DAV server settings in 1C-Bitrix Bitrix24 23.300.100 allows remote administrators to read Exchange account passwords via HTTP GET request.
📍 영향받는 시스템
1C-Bitrix Bitrix24 23.300.100 및 이전 버전
⚔️ 공격 벡터
원격 관리자가 조작된 HTTP GET 요청을 전송하여 자격 증명 탈취
🛡️ 대응 방법
해당 소프트웨어를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
특정 경로에 대한 GET 요청 시 인증 없이 200 OK 응답이 오거나 설정 정보가 노출되는지 확인합니다.
curl -I -X GET http://<target_ip>/path/to/dav/settings | grep -i 'HTTP/1.1 200 OK'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N
💻 영향받는 소프트웨어
Microsoft Exchange Server